《信息安全基础知识.ppt》由会员分享，可在线阅读，更多相关《信息安全基础知识.ppt（182页珍藏版）》请在金锄头文库上搜索。
1、http:/http:/信息安全基础知识信息安全基础知识http:/http:/目目 录录v信息安全概述信息安全概述v信息安全风险信息安全风险v黑客攻击黑客攻击v协议层安全协议层安全v安全体系架构安全体系架构v安全技术和产品安全技术和产品v一些安全建议一些安全建议http:/http:/信息安全概述信息安全概述http:/http:/信息技术及其应用的发展信息技术及其应用的发展A、通信通信-电报电报/电话电话 B、计算机计算机C、网络网络D、网络化社会的崛起、网络化社会的崛起-社会技术系统社会技术系统 (人人网系统网系统)http:/http:/什么是信息？什么是信息？ISO17799中的描述
2、中的描述“Information is an asset which, like other important business assets, has value to an organization and consequently needs to be suitably protected. ” “Information can exist in many forms. It can be printed or written on paper, stored electronically, transmitted by post or using electronic means,
3、 shown on films, or spoken in conversation. 强调信息：强调信息：是一种资产是一种资产同其它重要的商业资产一样同其它重要的商业资产一样对组织具有价值对组织具有价值 需要适当的保护需要适当的保护以各种形式存在：纸、电子、影片、交谈等以各种形式存在：纸、电子、影片、交谈等http:/http:/ 信息系统是有目的、和谐地处理信息信息系统是有目的、和谐地处理信息的主要工具，它把所有形态（原始数据、的主要工具，它把所有形态（原始数据、已分析的数据、知识和专家经验）和所有已分析的数据、知识和专家经验）和所有形式（文字、视频和声音）的信息进行收形式（文字、视频和声
4、音）的信息进行收集、组织、存储、处理和显示。集、组织、存储、处理和显示。 大英百科全书大英百科全书信息系统的概念信息系统的概念http:/http:/信息安全的定义信息安全的定义安全的定义安全的定义基本含义：客观上不受威胁；主观上不存在恐惧。基本含义：客观上不受威胁；主观上不存在恐惧。一种能够识别和消除不安全因素的能力，是一个持续的过程。一种能够识别和消除不安全因素的能力，是一个持续的过程。信息安全的定义信息安全的定义狭义：具体的信息技术体系或某一特定信息系统的安全。狭义：具体的信息技术体系或某一特定信息系统的安全。广义：一个国家的社会信息化状态不受外来的威胁和伤害，一个广义：一个国家的社会信
5、息化状态不受外来的威胁和伤害，一个国家的信息技术体系不受外来的威胁和侵害。国家的信息技术体系不受外来的威胁和侵害。ISO的定义：为数据处理系统建立和采取的技术和管理的安全保护，的定义：为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件、数据不因偶然和恶意的原因而遭到破坏、保护计算机硬件、软件、数据不因偶然和恶意的原因而遭到破坏、更改和显露。更改和显露。http:/http:/从历史看信息安全从历史看信息安全通信保密（通信保密（ComSEC）计算机安全（计算机安全（CompSEC）信息安全（信息安全（INFOSEC）信息保障（信息保障（IA）http:/http:/第一阶段：通
6、信保密第一阶段：通信保密上世纪上世纪40年代年代70年代年代重点是通过密码技术解决通信保密问题，保证数据的保密重点是通过密码技术解决通信保密问题，保证数据的保密性与完整性性与完整性主要安全威胁是搭线窃听、密码学分析主要安全威胁是搭线窃听、密码学分析主要保护措施是加密主要保护措施是加密重要标志重要标志1949年年Shannon发表的发表的保密系统的通信理论保密系统的通信理论 1977年美国国家标准局公布的数据加密标准（年美国国家标准局公布的数据加密标准（DES）1976年由年由Diffie与与Hellman在在“New Directions in Cryptography”一文中提出了公钥密码体
7、制一文中提出了公钥密码体制http:/http:/第二阶段：计算机安全第二阶段：计算机安全上世纪上世纪7080年代年代重点是确保计算机系统中硬件、软件及正在处理、存重点是确保计算机系统中硬件、软件及正在处理、存储、传输信息的机密性、完整性储、传输信息的机密性、完整性主要安全威胁扩展到非法访问、恶意代码、脆弱口令主要安全威胁扩展到非法访问、恶意代码、脆弱口令等等主要保护措施是安全操作系统设计技术（主要保护措施是安全操作系统设计技术（TCB）主要标志是主要标志是1985年美国国防部（年美国国防部（DoD）公布的可信计）公布的可信计算机系统评估准则（算机系统评估准则（TCSEC，橘皮书）将操作系统的
8、，橘皮书）将操作系统的安全级别分为四类七个级别（安全级别分为四类七个级别（D、C1、C2、B1、B2、B3、A1），后补充红皮书），后补充红皮书TNI（1987）和紫皮书）和紫皮书TDI（1991）等，构成彩虹（）等，构成彩虹（Rainbow）系列。）系列。http:/http:/级别描述D最低的级别。如MS-DOS，没有安全性可言C1灵活的安全保护。系统不需要区分用户。可提供基本的访问控制。如目前常用的各种通用操作系统。C2灵活的访问安全性。系统不仅要识别用户还要考虑唯一性。系统级的保护主要存在于资源、数据、文件和操作上。如WindowsNT3.5/4.0、DigitalUNIX、OpenV
9、MS。B1标记安全保护。系统提供更多的保护措施，包括各种的安全级别。如AT&T的SYSTEMV、UNIXwithMLS，以及IBMMVS/ESA。B2结构化保护。支持硬件保护。内容区被虚拟分割并严格保护。如TrustedXENIX和HoneywellMULTICS。B3安全域。支持数据隐藏和分层，可以阻止层之间的交互。如HoneywellXTS-200。A校验级设计。需要严格的准确证明系统不会被伤害，而且提供所有低级别的因素。如HoneywellSCOMP。操作系统安全级别操作系统安全级别http:/http:/第三阶段：信息安全第三阶段：信息安全上世纪上世纪80-90年代年代重点需要保护信息
10、，确保信息在存储、处理、传输过程中重点需要保护信息，确保信息在存储、处理、传输过程中及信息系统不被破坏，确保合法用户的服务和限制非授权及信息系统不被破坏，确保合法用户的服务和限制非授权用户的服务，以及必要的防御攻击的措施。强调信息的保用户的服务，以及必要的防御攻击的措施。强调信息的保密性、完整性、可控性、可用性等密性、完整性、可控性、可用性等主要安全威胁发展到网络入侵、病毒破坏、信息对抗的攻主要安全威胁发展到网络入侵、病毒破坏、信息对抗的攻击等击等主要保护措施包括防火墙、防病毒软件、漏洞扫描、入侵主要保护措施包括防火墙、防病毒软件、漏洞扫描、入侵检测、检测、PKI、VPN、安全管理等、安全管理
11、等主要标志是提出了新的安全评估准则主要标志是提出了新的安全评估准则CC（ISO 15408、GB/T 18336）http:/http:/信息安全的主要内容信息安全的主要内容安全保障安全保障内容安全 运行安全数据安全 设备安全信息系统安全管理安全管理http:/http:/信息安全的层次框架体系信息安全的层次框架体系层次层面目标安全属性威胁保护手段系统安全设备安全对网络与信息系统的硬件设施的保护。机密性、可用性、完整性、可靠性电磁泄露、通信干扰、信号注入、人为破坏、自然灾害、设备故障加扰处理、电磁屏蔽、数据校验、容错、冗余、系统备份运行安全对网络与信息系统的运行过程和运行状态的保护。真实性、可
12、控性、可用性、可审查性、可靠性非法使用资源、系统安全漏洞利用、网络阻塞、网络病毒、越权访问、非法控制系统、黑客攻击、拒绝服务攻击、软件质量差、系统崩溃防火墙与物理隔离、风险分析与漏洞扫描、应急响应、病毒防治、访问控制、安全审计、入侵检测、源路由过滤、降级使用、数据备份信息安全数据安全在数据收集、处理、存储、检索、传输、交换、显示、扩散等过程中保障信息依据授权使用，不被非法冒充、窃取、篡改、抵赖。机密性、真实性、完整性、不可否认性窃取、伪造、密钥截获、篡改、冒充、抵赖、攻击密钥加密、认证、非对称密钥、完整性验证、鉴别、数字签名、秘密共享内容安全对信息在网络内流动中的选择性阻断，以保证信息流动的可
13、控能力。机密性、真实性、可控性、可用性、完整性、可靠性可对系统造成威胁的脚本病毒；因无限制扩散而导致消耗用户资源的垃圾类邮件；导致社会不稳定的有害信息，等等密文解析或形态解析、流动信息的裁剪、信息的阻断、信息的替换、信息的过滤、系统的控制http:/http:/第四阶段：信息保障第四阶段：信息保障上世纪上世纪90年代后期年代后期“确保信息和信息系统的可用性、完整性、可确保信息和信息系统的可用性、完整性、可认证性、保密性和不可否认性的保护和防范活认证性、保密性和不可否认性的保护和防范活动。它包括了以综合保护、检测、反应能力来动。它包括了以综合保护、检测、反应能力来提供信息系统的恢复。提供信息系统
14、的恢复。” 1996年美国国防部（年美国国防部（ DoD）国防部令）国防部令S-3600.1典型标志为美国国家安全局制定的典型标志为美国国家安全局制定的信息保障信息保障技术框架技术框架（IATF）。）。http:/http:/保护网络和基础设施主干网络的可用性无线网络安全框架系统互连和虚拟私有网（VPN）信息保障技术框架（信息保障技术框架（IATF）保护网络边界登录保护网络远程访问多级安全保护计算环境终端用户环境系统应用程序的安全支撑性基础设施密钥管理基础设施/公共密钥基础设施（KMI/PKI）检测和响应 http:/http:/本地计算环境本地计算环境本地计算环境viaTSPviaTSP V
15、iaTSPViaTSP有密级的网络专用网电信供应商公共网络INTERNET公共电话网远程访问保护（加密器）边界保护（防火墙等）边界区域支持性基础设施1、检测与响应2、密钥管理基础设施、公钥基础设施通过电信供应商http:/http:/深层防御战略的核心因素深层防御战略的核心因素人技术操作http:/http:/ 深层防御战略的技术模型深层防御战略的技术模型W“PDRR”C 一一一一. .对象（两个）对象（两个）对象（两个）对象（两个） 信息信息信息信息 信息系统信息系统信息系统信息系统 二二二二. .层面（五个）层面（五个）层面（五个）层面（五个） 信息内容信息内容信息内容信息内容 应用服务应
16、用服务应用服务应用服务 局域计算环境局域计算环境局域计算环境局域计算环境 边界和外部连接边界和外部连接边界和外部连接边界和外部连接 基础设施基础设施基础设施基础设施 三三三三. .信息状态（五个）信息状态（五个）信息状态（五个）信息状态（五个） 产生产生产生产生 存储存储存储存储 处理处理处理处理 传输传输传输传输 消亡消亡消亡消亡 四四四四. .安全属性（八个安全属性（八个安全属性（八个安全属性（八个+ +） 保密性保密性保密性保密性（ConfidentialityConfidentiality） 完整性完整性完整性完整性（IntegrityIntegrity） 可用性可用性可用性可用性（A
17、vailabilityAvailability） 真实性或可认证性真实性或可认证性真实性或可认证性真实性或可认证性（AuthenticityAuthenticity） 不可否认性不可否认性不可否认性不可否认性（Non-Non-repudiationrepudiation） 可控性可控性可控性可控性(Controllability)(Controllability) 可审查性可审查性可审查性可审查性（AccountabilityAccountability） 五五五五. .安全保障能力来源（三个）安全保障能力来源（三个）安全保障能力来源（三个）安全保障能力来源（三个） 技术技术技术技术 管理管理
18、管理管理 人人人人 六六六六. .信息保障的环节（六个）信息保障的环节（六个）信息保障的环节（六个）信息保障的环节（六个）预警（预警（预警（预警（WarningWarningWarningWarning）保护（保护（保护（保护（ProtectProtectProtectProtect）检测（检测（检测（检测（DetectDetectDetectDetect）响应（响应（响应（响应（ReactReactReactReact）恢复（恢复（恢复（恢复（RestoreRestoreRestoreRestore）反击（反击（反击（反击（CounterattackCounterattackCountera
19、ttackCounterattack）可靠可靠http:/http:/信息安全属性信息安全属性基本属性基本属性保密性保密性 - - 保证机密信息不会泄露给非授权的人或实体，保证机密信息不会泄露给非授权的人或实体，或供其使用；或供其使用；完整性完整性 - - 防止信息被未经授权的篡改，保证真实的信防止信息被未经授权的篡改，保证真实的信息从真实的信源无失真地到达真实的信宿；息从真实的信源无失真地到达真实的信宿；可用性可用性 - - 保证信息及信息系统确实为授权使用者所用，保证信息及信息系统确实为授权使用者所用，防止由于计算机病毒或其它人为因素造成的系统拒绝防止由于计算机病毒或其它人为因素造成的系统
20、拒绝服务，或为敌手可用，信息系统能够在规定的条件下服务，或为敌手可用，信息系统能够在规定的条件下和规定的时间内完成规定的功能。和规定的时间内完成规定的功能。http:/http:/信息安全属性信息安全属性其他属性其他属性真实性真实性 - - 能对通讯实体身份的真实性进行鉴别；能对通讯实体身份的真实性进行鉴别；可控性可控性 - - 保证信息行为和过程均在信息主体的掌握和保证信息行为和过程均在信息主体的掌握和控制之下依照信息主体的意愿进行；控制之下依照信息主体的意愿进行；可靠性可靠性 - - 保证所传输的信息不属于无用信息；保证所传输的信息不属于无用信息；不可否认性不可否认性 - - 建立有效的责
21、任机制，防止实体否认其建立有效的责任机制，防止实体否认其行为；行为；可审查性可审查性 - - 对出现的网络安全问题提供调查的依据和对出现的网络安全问题提供调查的依据和手段并可追踪到唯一的行为实体；手段并可追踪到唯一的行为实体；http:/http:/信息保障技术环节信息保障技术环节预警（预警（Warning）：）：根据以前掌握系统的脆弱性和了解当前的犯罪趋势，预测未来可能受到根据以前掌握系统的脆弱性和了解当前的犯罪趋势，预测未来可能受到的攻击和危害。的攻击和危害。 保护（保护（Protect）：）：采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和不采用可能采取的手段保障信息的保密性
22、、完整性、可用性、可控性和不可否认性。可否认性。检测（检测（Detect）：）：利用高技术提供的工具检查系统存在的可能提供黑客攻击、白领犯罪、利用高技术提供的工具检查系统存在的可能提供黑客攻击、白领犯罪、病毒泛滥脆弱性。病毒泛滥脆弱性。反应（反应（React）：）：对危及安全的事件、行为、过程及时作出响应处理，杜绝危害的进一步对危及安全的事件、行为、过程及时作出响应处理，杜绝危害的进一步蔓延扩大，力求系统尚能提供正常服务。蔓延扩大，力求系统尚能提供正常服务。恢复（恢复（Restore）：）：一旦系统遭到破坏，尽快恢复系统功能，尽早提供正常的服务。一旦系统遭到破坏，尽快恢复系统功能，尽早提供正常
23、的服务。反击（反击（Counterattack）：）：利用高技术工具，提供犯罪分子犯罪的线索、犯罪依据，依法侦查犯罪利用高技术工具，提供犯罪分子犯罪的线索、犯罪依据，依法侦查犯罪分子处理犯罪案件，要求形成取证能力和打击手段，依法打击犯罪和网分子处理犯罪案件，要求形成取证能力和打击手段，依法打击犯罪和网络恐怖主义分子。络恐怖主义分子。http:/http:/实施安全保障的原则实施安全保障的原则没有绝对的安全没有绝对的安全开放最少服务提供最小权限原则。开放最少服务提供最小权限原则。安全需求平衡安全需求平衡信息安全保障的问题就是安全的效用问题，在解决或预防信信息安全保障的问题就是安全的效用问题，在解
24、决或预防信息安全问题时，要从经济、技术、管理的可行性和有效性上息安全问题时，要从经济、技术、管理的可行性和有效性上做出权衡和取舍。做出权衡和取舍。防防范范不不足足会会造造成成直直接接的的损损失失；防防范范过过多多又又会会造造成成间间接接的的损损失失。必须根据安全目标审查安全手段。必须根据安全目标审查安全手段。过过分分繁繁杂杂的的安安全全政政策策将将导导致致比比没没有有安安全全政政策策还还要要低低效效的的安安全全。需需要要考考虑虑一一下下安安全全政政策策给给合合法法用用户户带带来来的的影影响响，在在很很多多情情况况下下如如果果用用户户所所感感受受到到的的不不方方便便大大于于所所产产生生的的安安全
25、全上上的的提提高高，则执行的安全策略是实际降低了企业的安全有效性。则执行的安全策略是实际降低了企业的安全有效性。http:/http:/信息安全的目的信息安全的目的打不跨打不跨打不跨打不跨看看看看不不不不懂懂懂懂进进进进不不不不来来来来拿拿拿拿不不不不走走走走改改改改不不不不了了了了跑跑跑跑不不不不了了了了可可可可审审审审查查查查http:/http:/信息安全的基础：风险管理信息安全的基础：风险管理风风险险管管理理：基基于于可可接接受受的的成成本本，对对影影响响信信息息系系统统的的安安全风险进行识别、控制、减小或消除的过程全风险进行识别、控制、减小或消除的过程。信信息息安安全全对对策策必必须
26、须以以风风险险管管理理为为基基础础：安安全全不不必必是是完完美无缺、面面俱到的。但风险必须是能够管理的。美无缺、面面俱到的。但风险必须是能够管理的。最最适适宜宜的的信信息息安安全全策策略略就就是是最最优优的的风风险险管管理理对对策策，这这是一个在有限资源前提下的最优选择问题。是一个在有限资源前提下的最优选择问题。风险管理体系风险管理体系ISO17799：信息安全管理实施细则：信息安全管理实施细则AS/NZS4360 AS/NZS4360 ：风险管理标准：风险管理标准GAO/AIMD 98-68：信息安全管理实施指南：信息安全管理实施指南http:/http:/信息安全风险信息安全风险http:
27、/http:/信息安全风险的定义信息安全风险的定义风险风险遭受损害或损失的可能性。遭受损害或损失的可能性。安全风险安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性。（的资产损失或损害的可能性。（ISO/IEC TR 13335-1:1996）信息安全风险信息安全风险是指信息资产的保密性、完整性和可用性等安全属性是指信息资产的保密性、完整性和可用性等安全属性遭到破坏的可能性。遭到破坏的可能性。信息安全风险只考虑那些对组织有负面影响的事件。信息安全风险只考虑那些对组织有负面影响的事件。http:/http:/风险的四要素风
28、险的四要素资产及其价值资产及其价值威胁威胁脆弱性脆弱性现有的和计划现有的和计划的控制措施的控制措施价值ISO13335 以风险为核心的安全模型以风险为核心的安全模型http:/http:/资产资产资产是任何对组织有价值资产是任何对组织有价值的东西。的东西。信息也是一种资产，对组织具有价值。信息也是一种资产，对组织具有价值。资产的分类资产的分类电子信息资产电子信息资产 纸介资产纸介资产 软件资产软件资产 物理资产物理资产 人员人员 服务性资产服务性资产 公司形象和名誉公司形象和名誉http:/http:/主要的信息资产主要的信息资产终端资源：终端资源：v员工工作站员工工作站v威胁威胁 : :病毒
29、病毒, ,木马木马, X Active, applet, X Active, applet网络资源：网络资源：v路由器路由器, ,交换机交换机, ,线缆线缆v威胁威胁: IP spoofing, system snooping: IP spoofing, system snooping服务器资源服务器资源：vDNS,WEB, Email, FTP server etcDNS,WEB, Email, FTP server etcv威胁威胁: : 非授权访问非授权访问, , 服务中断服务中断, , 木马木马信息存储资源：信息存储资源：v人力资源和电子商务数据库人力资源和电子商务数据库v威胁威胁:
30、: 获取商业机密或用户数据获取商业机密或用户数据http:/http:/威胁威胁威胁是可能导致信息安全事故和组织信息资产损失的活动。威胁是可能导致信息安全事故和组织信息资产损失的活动。威胁是利用脆弱性来造成后果。威胁是利用脆弱性来造成后果。威胁举例威胁举例黑客入侵和攻击黑客入侵和攻击病毒和其他恶意程序病毒和其他恶意程序软硬件故障软硬件故障人为误操作人为误操作自然灾害如：地震、火灾、爆炸等自然灾害如：地震、火灾、爆炸等盗窃盗窃网络监听网络监听供电故障供电故障未授权访问未授权访问http:/http:/脆弱性脆弱性是与信息资产有关的弱点或安全隐患。是与信息资产有关的弱点或安全隐患。脆弱性本身并不对
31、资产构成危害，但是在一定条件得到满脆弱性本身并不对资产构成危害，但是在一定条件得到满足时，脆弱性会被威胁加以利用来对信息资产造成危害。足时，脆弱性会被威胁加以利用来对信息资产造成危害。举例（技术性和非技术性的）：举例（技术性和非技术性的）：系统漏洞系统漏洞程序程序Bug后门后门系统没有进行安全配置系统没有进行安全配置缺少审计缺少审计物理环境不安全物理环境不安全缺乏安全意识缺乏安全意识缺乏专业人员缺乏专业人员不良习惯不良习惯http:/http:/安全威胁安全威胁物理层面：物理层面： 机房、设备间等的设备防盗，防毁机房、设备间等的设备防盗，防毁 机房、设备间的环境保障机房、设备间的环境保障 链路
32、老化，人为破坏，被动物咬断等链路老化，人为破坏，被动物咬断等 网络设备自身故障网络设备自身故障 停电导致网络设备无法工作停电导致网络设备无法工作 电磁干扰和泄漏电磁干扰和泄漏 其他其他http:/http:/基本威胁：基本威胁：一）非授权访问：一）非授权访问：一）非授权访问：一）非授权访问：1.1.没有经过同意，就使用网络或计算机资源。没有经过同意，就使用网络或计算机资源。没有经过同意，就使用网络或计算机资源。没有经过同意，就使用网络或计算机资源。2.2. 如有意避开系统访问控制机制，对网络设备及资源进行如有意避开系统访问控制机制，对网络设备及资源进行如有意避开系统访问控制机制，对网络设备及资
33、源进行如有意避开系统访问控制机制，对网络设备及资源进行非正常使用。非正常使用。非正常使用。非正常使用。3.3.2. 2. 擅自扩大权限，越权访问信息。擅自扩大权限，越权访问信息。擅自扩大权限，越权访问信息。擅自扩大权限，越权访问信息。4.4. 如假冒、身份攻击、非法用户进入网络系统进行违法操如假冒、身份攻击、非法用户进入网络系统进行违法操如假冒、身份攻击、非法用户进入网络系统进行违法操如假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。作、合法用户以未授权方式进行操作等。作、合法用户以未授权方式进行操作等。作、合法用户以未授权方式进行操作等。安全威胁安全威胁ht
34、tp:/http:/基本威胁：基本威胁：二）信息泄露：二）信息泄露：二）信息泄露：二）信息泄露：1.1.敏感数据在有意或无意中被泄漏出去敏感数据在有意或无意中被泄漏出去敏感数据在有意或无意中被泄漏出去敏感数据在有意或无意中被泄漏出去。2.2. 如如如如信息在传输中丢失或泄漏（电磁泄漏或搭线窃听；信息在传输中丢失或泄漏（电磁泄漏或搭线窃听；信息在传输中丢失或泄漏（电磁泄漏或搭线窃听；信息在传输中丢失或泄漏（电磁泄漏或搭线窃听；对信息流向、流量、通信频度和长度等参数的分析，推对信息流向、流量、通信频度和长度等参数的分析，推对信息流向、流量、通信频度和长度等参数的分析，推对信息流向、流量、通信频度和
35、长度等参数的分析，推出有用信息；猜测用户口令、帐号等重要信息。）出有用信息；猜测用户口令、帐号等重要信息。）出有用信息；猜测用户口令、帐号等重要信息。）出有用信息；猜测用户口令、帐号等重要信息。）2. 2. 信息在存储介质中丢失或泄漏。信息在存储介质中丢失或泄漏。信息在存储介质中丢失或泄漏。信息在存储介质中丢失或泄漏。 如通过建立隐蔽隧道等窃取敏感信息等。如通过建立隐蔽隧道等窃取敏感信息等。如通过建立隐蔽隧道等窃取敏感信息等。如通过建立隐蔽隧道等窃取敏感信息等。安全威胁安全威胁http:/http:/基本威胁：基本威胁：三）破坏数据完整性：三）破坏数据完整性：三）破坏数据完整性：三）破坏数据完
36、整性：1.1.以非法手段窃得对数据的使用权，删除、修改、插入或重以非法手段窃得对数据的使用权，删除、修改、插入或重以非法手段窃得对数据的使用权，删除、修改、插入或重以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应。发某些重要信息，以取得有益于攻击者的响应。发某些重要信息，以取得有益于攻击者的响应。发某些重要信息，以取得有益于攻击者的响应。2.2. 恶意添加，修改数据，以干扰用户的正常使用。恶意添加，修改数据，以干扰用户的正常使用。恶意添加，修改数据，以干扰用户的正常使用。恶意添加，修改数据，以干扰用户的正常使用。安全威胁安全威胁http:/http:/
37、基本威胁：基本威胁：四）拒绝服务攻击四）拒绝服务攻击四）拒绝服务攻击四）拒绝服务攻击1.1.不断对网络服务系统进行干扰，改变其正常的作业流程。不断对网络服务系统进行干扰，改变其正常的作业流程。不断对网络服务系统进行干扰，改变其正常的作业流程。不断对网络服务系统进行干扰，改变其正常的作业流程。2.2. 执行无关程序使系统响应减慢甚至瘫痪，影响正常用户执行无关程序使系统响应减慢甚至瘫痪，影响正常用户执行无关程序使系统响应减慢甚至瘫痪，影响正常用户执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络的使用，甚至使合法用户被排斥而不能进入计算机网络的使用，甚
38、至使合法用户被排斥而不能进入计算机网络的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。系统或不能得到相应的服务。系统或不能得到相应的服务。系统或不能得到相应的服务。安全威胁安全威胁http:/http:/主要可实现的威胁：主要可实现的威胁： 假冒假冒假冒假冒 某个实体（人或系统）假装成另外一个不同的实体。这是渗入某个安全防某个实体（人或系统）假装成另外一个不同的实体。这是渗入某个安全防某个实体（人或系统）假装成另外一个不同的实体。这是渗入某个安全防某个实体（人或系统）假装成另外一个不同的实体。这是渗入某个安全防线的最为通用的方法。线的最为通用的方法。线的最为通用的方法
39、。线的最为通用的方法。 旁路控制旁路控制旁路控制旁路控制 为了获得未授权的权利和特权，某个攻击者会发掘系统的缺陷或安全上的为了获得未授权的权利和特权，某个攻击者会发掘系统的缺陷或安全上的为了获得未授权的权利和特权，某个攻击者会发掘系统的缺陷或安全上的为了获得未授权的权利和特权，某个攻击者会发掘系统的缺陷或安全上的脆弱之处。脆弱之处。脆弱之处。脆弱之处。 授权侵犯授权侵犯授权侵犯授权侵犯 被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其它未被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其它未被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其它未被授权以某一目的使
40、用某一系统或资源的某个人，却将此权限用于其它未授权目的，也称作授权目的，也称作授权目的，也称作授权目的，也称作“ “内部威胁内部威胁内部威胁内部威胁” ” 。 特洛伊木马特洛伊木马特洛伊木马特洛伊木马 软件中含有一个觉察不出的或无害的程序段，当它被执行时，会破坏用户软件中含有一个觉察不出的或无害的程序段，当它被执行时，会破坏用户软件中含有一个觉察不出的或无害的程序段，当它被执行时，会破坏用户软件中含有一个觉察不出的或无害的程序段，当它被执行时，会破坏用户的安全性。的安全性。的安全性。的安全性。 陷门陷门陷门陷门 在某个系统或某个文件中设置的在某个系统或某个文件中设置的在某个系统或某个文件中设置
41、的在某个系统或某个文件中设置的“ “机关机关机关机关” ”，使得当提供特定的输入数据时，使得当提供特定的输入数据时，使得当提供特定的输入数据时，使得当提供特定的输入数据时，允许违反安全策略。允许违反安全策略。允许违反安全策略。允许违反安全策略。安全威胁安全威胁http:/http:/安全威胁安全威胁潜在的威胁潜在的威胁如果在某个给定环境对任何一种基本威胁或者主要的如果在某个给定环境对任何一种基本威胁或者主要的可实现威胁进行分析，我们就能够发现某些特定的潜可实现威胁进行分析，我们就能够发现某些特定的潜在威胁，而任意一种潜在威胁都可能导致一些更基本在威胁，而任意一种潜在威胁都可能导致一些更基本的威
42、胁的发生。的威胁的发生。举例举例 窃听：窃听：信息从被监视的通信过程中泄露出去信息从被监视的通信过程中泄露出去 业务流分析：业务流分析：通过对通信业务流模式（有，无，数量，方向，频率）通过对通信业务流模式（有，无，数量，方向，频率）的分析来将信息泄露给非授权个体的一种情报信息窃取方法；的分析来将信息泄露给非授权个体的一种情报信息窃取方法； 人员疏忽：人员疏忽：作为主体的人因为疏忽大意而导致的信息泄露事件；作为主体的人因为疏忽大意而导致的信息泄露事件； 媒体清理：媒体清理：通过对数据所依赖的媒体的分析而获得信息。通过对数据所依赖的媒体的分析而获得信息。http:/http:/黑客攻击黑客攻击ht
43、tp:/http:/什么是黑客什么是黑客通过网络通过网络, 利用系统中的一些漏洞和缺陷利用系统中的一些漏洞和缺陷,对计算对计算机系统进行入侵的人机系统进行入侵的人hacker与与cracker: Hacker Cracker, 但对于大但对于大众众, hacker 即即 cracker可能的攻击者（可能的攻击者（cracker）计算机黑客（计算机黑客（hacker）不满或者被解雇的雇员不满或者被解雇的雇员极端危险的罪犯极端危险的罪犯工业、企业间谍工业、企业间谍对攻击技术好奇的人对攻击技术好奇的人。http:/http:/攻击的一般过程攻击的一般过程第一步：信息探测第一步：信息探测寻找目标，获取
44、信息寻找目标，获取信息第二步：进入系统第二步：进入系统获得初始的访问权限获得初始的访问权限 第三步：权限提升第三步：权限提升获得更获得更/最高访问权限最高访问权限第四步：深入攻击第四步：深入攻击攻击其他系统攻击其他系统/擦除痕擦除痕迹迹/留下后门留下后门第五步：拒绝服务第五步：拒绝服务入侵未成功则造成拒入侵未成功则造成拒绝服务绝服务http:/http:/信息探测一般是入侵过程的开始，任何有信息探测一般是入侵过程的开始，任何有头脑的攻击者在尝试获取访问目标系统的头脑的攻击者在尝试获取访问目标系统的特权之前，都要预先进行工作量可能不少特权之前，都要预先进行工作量可能不少的研究，如对网络内部或外部
45、进行有意或的研究，如对网络内部或外部进行有意或无意的可攻击目标的搜寻（踩点、扫描）。无意的可攻击目标的搜寻（踩点、扫描）。信息探测的目的信息探测的目的确定目标的确定目标的确定目标的确定目标的IPIP或域名或域名或域名或域名确定目标操作系统类型和版本确定目标操作系统类型和版本确定目标操作系统类型和版本确定目标操作系统类型和版本确定目标系统提供的服务确定目标系统提供的服务确定目标系统提供的服务确定目标系统提供的服务端口信息端口信息端口信息端口信息攻击的一般过程攻击的一般过程1：信息探测：信息探测http:/http:/信息探测的手法信息探测的手法利用公开信息利用公开信息网络拓扑发现（如网络拓扑发现
46、（如ping、traceroute、firewalk ）端口扫描（如端口扫描（如nmap）远程操作系统识别（如远程操作系统识别（如banner grab、nmap OS指纹指纹鉴别）鉴别）SNMP 扫描（如扫描（如snmputil）漏洞扫描（如漏洞扫描（如Nessus、商业扫描器）、商业扫描器）手工漏洞挖掘（如手工漏洞挖掘（如SQL注入）注入）社会工程社会工程攻击的一般过程攻击的一般过程1：信息探测：信息探测http:/http:/tracerouteTraceroute使我们知道数据包由出发点（source）到达目的地(destination)所走的路径。Traceroute通过发送小的数据
47、包到目的设备直到其返回，来测量其需要多长时间。一条路径上的每个设备Traceroute要测3次。输出结果中包括每次测试的时间(ms)和设备的名称（如有的话）及其IP地址。在UNIX系统下为Traceroute，在Windows系统下为Tracerert。C:T204.71.200.75overamaximumof30hops:1161ms150ms160ms202.99.38.672151ms160ms160ms202.99.38.653151ms160ms150ms202.97.16.1704151ms150ms150ms202.97.17.905151ms150ms150ms202.97.
48、10.56151ms150ms150ms202.97.9.97761ms761ms752msborder7-serial3-0-0.S204.70.122.698751ms751ms*core2-fddi-0.S204.70.164.499762ms771ms751msborder8-fddi-0.S204.70.164.6710721ms*741msglobalcenter.S204.70.123.611*761ms751mspos4-2-155M.cr2.SNV206.132.150.23712771ms*771mspos1-0-2488M.hr8.SNV206.132.254.41137
49、31ms741ms751msbas1r-ge3-0-204.71.200.75Tracecomplete.http:/http:/NMapNMap（NetworkMapper）是Linux下的网络扫描和嗅探工具包。其基本功能有三个，一是探测一组主机是否在线；其次是扫描主机端口，嗅探所提供的网络服务；还可以推断主机所用的操作系统。此外还可以将所有探测结果记录到各种格式的日志中，供进一步分析操作。Nmap可用于扫描含有2个节点的LAN，直至500个节点以上的网络。Nmap还允许用户定制扫描技巧。通常，一个简单的使用ICMP协议的ping操作可以满足一般需求。示例：适用于内外网的探测，以内网操作为示
50、例(外网参数同)简单端口扫描：nmap-vv-sT(sS、sF、sU、sA)192.168.0.1-D127.0.0.1（-D伪造的地址)OS检测：nmap-vv-sS-O192.168.0.1RPC鉴别：nmap-sS-sR192.168.0.1Linux上的portmap就是一个简单的RPC服务，监听端口为111（默认）Ping扫射：nmap-sP172.16.15.0/24http:/http:/snmp扫描SNMP（SimpleNetworkManagementProtocol，简单网络管理协议）是用于管理IP网络上的结点的一种协议。几乎所有的网络设备和网络操作系统都支持SNMP。co
51、mmunitystring（社团字串）是基于SNMP协议信息通信时使用的一种“查询密码”，当使用特殊的客户端应用程序，通过communitystring的验证，将获得对应的权限（只读或读写)对SNMP中管理信息库（MIB）进行访问。而管理信息库（MIB）中则保存了系统所有的重要信息。很多网络设备厂商以及操作系统厂商，在初始状态下，都使用统一的communitystring“public”。Snmputil命令行方式的SNMP扫描工具snmputilwalk对方ippublic.1.3.6.1.2.1.25.4.2.1.2列出系统进程snmputilwalk对方ippublic.1.3.6.1.
52、4.1.77.1.2.25.1.1列系统用户列表snmputilget对方ippublic.1.3.6.1.4.1.77.1.4.1.0列出域名snmputilwalk对方ippublic.1.3.6.1.2.1.25.6.3.1.2列出安装的软件snmputilwalk对方ippublic.1.3.6.1.2.1.1列出系统信息http:/http:/漏洞扫描漏洞扫描什么是漏洞扫描漏洞扫描是一种自动检测远程或本地主机安全性弱点的操作。通过使用扫描器你可以不留痕迹的发现远程服务器的各种TCP/UDP端口的分配、所提供的服务及其软件版本，能够让我们间接的或直观的了解到远程主机所存在的安全问题。N
53、essus是一款可以运行在Linux、BSD、Solaris以及其他一些系统上的远程安全扫描软件。它是多线程、基于插入式的软件，拥有很好的图形操作界面，能够完成超过1200项的远程安全检查，具有强大的报告输出能力，可以产生HTML、XML、LaTeX和ASCII文本等格式的安全报告，并且会为每一个发现的安全问题提出解决建议。http:/http:/攻击者在进行信息探测后确定了在其知识范畴内比较容易实现的攻击目标尝试对象，然后开始对目标主机的技术或管理漏洞进行深入分析和验证，试图获得系统的初始访问权。攻击者常用的手段主要是漏洞校验和口令猜解，如：专用的CGI漏洞扫描工具、登录口令破解等等。一般步
54、骤：1. 扫描目标主机。 2. 检查开放的端口，获得服务软件及版本。 3. 检查服务是否存在漏洞，如果是，利用该漏洞远程进入系统。 4. 检查服务软件是否存在脆弱帐号或密码，如果是，利用其进入系统。 5. 服务软件是否泄露系统敏感信息，如果是，检查能否利用。 6. 扫描相同子网主机，重复以上步骤，直到进入目标主机或放弃。 攻击的一般过程攻击的一般过程2：进入系统：进入系统http:/http:/攻击的一般过程攻击的一般过程3：权限提升：权限提升攻击者成功从原先没有权限的系统获取了一个访问权限从而进入系统，但这个权限可能是受限制的，于是攻击者就会采取各种措施，使得当前的权限得到提升，最理想的就是
55、获得最高权限（如Admin或者Root权限），这样攻击者才能进行深入攻击。这个过程就是权限提升。攻击者常用的手段主要是通过缓冲区溢出的攻击方式。一般步骤：1.检查目标主机上的SUID和GUID程序是否存在漏洞，如果是，利用该漏洞提升权限(unix)。2.检查本地服务是否存在漏洞，如果是，利用该漏洞提升权限。3.检查本地服务是否存在脆弱帐号或密码，如果是，利用该帐号或密码提升权限。4.检查重要文件的权限是否设置错误，如果是，利用该漏洞提升权限。5.检查配置目录中是否存在敏感信息可以利用。6.检查用户目录中是否存在敏感信息可以利用。7.检查其它目录是否存在可以利用的敏感信息。8.重复以上步骤，直到
56、获得root权限或放弃。http:/http:/攻击的一般过程攻击的一般过程4：深入攻击：深入攻击攻击者通过权限提升后，一般是控制了单台主机，从而独立的入侵过程基本完成。但是，攻击者也会考虑如何将留下的入侵痕迹消除，同时开辟一条新的路径便于日后再次进行更深入地攻击，或者以被控制主机为跳板去攻击网络上其他主机。主要技术手段包括木马植入、日志更改或替换、跳板攻击等等。相关日志对守护进程扫描时留下的日志系统登陆产生的日志文件访问产生的日志更改系统设置留下的日志安装黑客工具留下的日志http:/http:/攻击的一般过程攻击的一般过程5：拒绝服务：拒绝服务如果目标主机的防范措施比较好，前面的攻击过程可
57、能不起效果。作为部分恶意的攻击者还会采用拒绝服务的攻击方式，模拟正常的业务请求来阻塞目标主机对外提供服务的网络带宽或消耗目标主机的系统资源，使正常的服务变得非常困难，严重的甚至导致目标主机宕机，从而达到攻击的效果。目前，拒绝服务（DoS）成为非常流行的攻击手段，甚至结合木马程序发展成为分布式拒绝服务攻击（DDoS），其攻击威力更大。常见拒绝服务攻击类型SYN溢出Smurf和FragglePingofdeathLandattackhttp:/http:/什么是什么是DoS/DDoS攻击？攻击？攻击者利用因特网上成百上千的攻击者利用因特网上成百上千的“Zombie”(Zombie”(僵尸僵尸)-)
58、-即被利用主机，对攻击目即被利用主机，对攻击目标发出海量数据包造成动威力巨大的拒绝服标发出海量数据包造成动威力巨大的拒绝服务攻击。务攻击。DenialDenial of Service ( of Service (DoSDoS) ) 拒绝服务攻击拒绝服务攻击Distributed Denial of Service (Distributed Denial of Service (DDoSDDoS) )分布式分布式拒绝服务攻击拒绝服务攻击攻击者利用系统自身漏洞或者协议漏洞，攻击者利用系统自身漏洞或者协议漏洞，耗尽可用资源乃至系统崩溃，而无法对合法耗尽可用资源乃至系统崩溃，而无法对合法用户作出响应
59、。用户作出响应。Trinoo、TFN、TFN2K和Stacheldraht。常用攻击工具常用攻击工具http:/http:/DDoS攻击过程攻击过程主控主机主控主机（中间人handler）合法用户合法用户扫描程序扫描程序黑客黑客Internet非安全主机非安全主机被控主机被控主机（代理agent)应用服务器应用服务器服务请求服务请求服务响应服务响应洪流洪流(ICMP Flood / SYN Flood / UDP Flood)http:/http:/协议层安全协议层安全http:/http:/OSI 参考模型和参考模型和TCP/IP协议簇协议簇网络设施网络设施操作系统操作系统应用服务应用服务h
60、ttp:/http:/TCP/IP 和因特网安全和因特网安全The ARPAnet since 1966Internet起于研究项目起于研究项目,安全不是主要的考虑安全不是主要的考虑少量的用户，多是研究人员少量的用户，多是研究人员,可信的用户群体可信的用户群体可靠性可靠性(可用性可用性)、计费、性能、计费、性能 、配置、安全、配置、安全网络协议的开放性与系统的通用性网络协议的开放性与系统的通用性目标可访问性，行为可知性目标可访问性，行为可知性攻击工具易用性攻击工具易用性Internet 和和 TCP/IP v4没有考虑安全因素没有考虑安全因素IP v6的设计中考虑了安全因素的设计中考虑了安全因
61、素Internet 没有集中的管理权威和统一的政策没有集中的管理权威和统一的政策安全政策、计费政策、路由政策安全政策、计费政策、路由政策http:/http:/识别网络通讯中存在的风险识别网络通讯中存在的风险网络监视网络监视网络监视网络监视数据修改数据修改数据修改数据修改身份欺骗身份欺骗身份欺骗身份欺骗中间人劫持中间人劫持中间人劫持中间人劫持 窃取密码窃取密码窃取密码窃取密码http:/http:/识别与物理网络相关的风险识别与物理网络相关的风险Hub网段网段 1网段网段 1 网段网段1网段网段 2SnifferSniffer所有连接都可见仅网段2通讯可见Switch截取、捕获数据截取、捕获数
62、据网段网段1网段网段2仅允许网段3访问TelnetTelnet网段网段3RouterRouterTelnet Server非法用户远程登录非法用户远程登录http:/http:/物理层安全问题物理层安全问题v对线缆上传输的信号做文章（Compose the signals transmit over the wire）v威胁: 搭线窃听 & Snifferv防护:数据加密 / 流量填充（encryption/ data labels/ traffic padding）优化网络拓扑（交换、VLAN、防火墙）http:/http:/网络层安全问题网络层安全问题v提供逻辑地址和路由vIP,ICMP
63、vInternet Protocol (IP)32-bit ,unique ,identify host头部(20bytes): 信息和控制字段威胁: IP spoofing，Smurf attackv网际控制消息协议 (ICMP)在IP层检查错误和其它条件。一般的ICMP信息是非常有用的。威胁:（TFN,利用ICMP协议来消耗网络带宽） （Winnuke 发送畸形的ICMP数据包 ）v保护: firewall, system patchhttp:/http:/传输层安全问题传输层安全问题v控制主机之间信息的传输vTCP, UDP 协议vTCP :面向连接的协议 （FTP,HTTP,SMTP）
64、flags: SYN, FIN, ACK, PSH, RST, URGEstablishing/ Terminating a TCP connectionvTCP 威胁: SYN floodvUDP :面向无连接的协议(Audio,video,TFTP)v端口 (IANA)Web(80),FTP(20,21),DNS(53), SNMP(161,162)保留端口(Wellknown ports) : BS7799-2:2002），为建立信息安全管理体系必须符合的要求），为建立信息安全管理体系必须符合的要求http:/http:/ISO17799一、安全方一、安全方针（Security Poli
65、cy）（）（1,2）（）（附注）附注）二、安全二、安全组织（Security Organization）(3,10)三、三、资产分分类与控制与控制(Asset classification and Control)(2,3)四、人四、人员安全安全(Personnel Security)(3,10)五、物理与五、物理与环境安境安全全(Physic and Environment Security)(3,13)六、通信与运行管六、通信与运行管理理(Communication and Operation Management)(7,24)八、系八、系统开开发与与维护(System develop a
66、nd maintenance)(5,18)七、七、访问控制控制(Access control)(8,31)九、九、业务持持续性管理性管理(Business continuity management)(1,5)十、符合性十、符合性(Compliance)(3,11)附注：附注：(m，n) m：执行目行目标的数目的数目 n：控制方法的数目控制方法的数目http:/http:/http:/http:/ISO27001http:/http:/PDCA循环循环Plan DoCheckAct又称又称“戴明环戴明环”, 是能使任何一项活动有效进行的工作程序是能使任何一项活动有效进行的工作程序:P计划（建立
67、计划（建立ISMS）根据组织的整体方针和目标，建立安全策略、目标以及与管理风根据组织的整体方针和目标，建立安全策略、目标以及与管理风险和改进信息安全相关的过程和程序，以获得结果。险和改进信息安全相关的过程和程序，以获得结果。D实施（实施（ 实施和运行实施和运行ISMS）实施和运行安全策略、控制、过程和程序。实施和运行安全策略、控制、过程和程序。C检查（检查（ 监视和评审监视和评审ISMS）适用时，根据安全策略、目标和惯有经验评估和测量过程业绩，适用时，根据安全策略、目标和惯有经验评估和测量过程业绩，向管理层报告结果，进行评审。向管理层报告结果，进行评审。A改进（保持和改进改进（保持和改进ISM
68、S）根据内部根据内部ISMS 审核和管理评审或其他信息，采取纠正和预防措施，审核和管理评审或其他信息，采取纠正和预防措施，以实现以实现ISMS 的持续改进的持续改进http:/http:/建立建立ISMS的步骤的步骤 第六步第六步第五步第五步第四步第四步第三步第三步第二步第二步威胁、漏洞和影响威胁、漏洞和影响机构的风险管理办法所机构的风险管理办法所要求达到的保障程度要求达到的保障程度17799-2（BS7799）中的第四）中的第四章所列的安全控制目标和措施章所列的安全控制目标和措施不在不在BS7799的其的其它安全控制它安全控制策略文件策略文件ISMS 的范围的范围风险评估风险评估适用性说明书
69、适用性说明书信息资产信息资产结果与结论结果与结论选定的控制选项选定的控制选项选定的控制目标及控制选定的控制目标及控制第一步第一步定义策略定义策略定义定义信息安全管理系统（信息安全管理系统（ISMS）的范围的范围进行风险评估进行风险评估管理这些风险管理这些风险选择控制目标选择控制目标以及要实现的控制以及要实现的控制撰写适用性说明书撰写适用性说明书http:/http:/信息安全管理的过程网络信息安全管理的过程网络将相互关联的过程作为一个系统来识别、理解和管理将相互关联的过程作为一个系统来识别、理解和管理一个过程的输出构成随后过程输入的一部分一个过程的输出构成随后过程输入的一部分过程之间的相互作用
70、形成相互依赖的过程网络过程之间的相互作用形成相互依赖的过程网络PDCA循环可用于单个过程，也可用于整个过程网络循环可用于单个过程，也可用于整个过程网络制定信息安全方针制定信息安全方针确定确定ISMS的范围的范围安全风险评估安全风险评估风险管理风险管理选择控制目标和控制措选择控制目标和控制措施施准备适用声明准备适用声明实施测量、改进安全需求安全http:/http:/信息安全管理的四个重要原则信息安全管理的四个重要原则领导重视组织保障指明方向和目标 权威预算保障，提供所需的资源监督检查全员参与信息安全不仅仅是IT部门的事让每个员工明白随时都有信息安全问题每个员工都应具备相应的安全意识和能力让每个
71、员工都明确自己承担的信息安全责任 持续改进实现信息安全目标的循环活动 信息安全是动态的，时间性强持续改进才能有最大限度的安全组织应该为员工提供持续改进的方法和手段文件化文件的作用：有章可循，有据可查文件的类型：手册、规范、指南、记录 http:/http:/信息安全管理的实践经验信息安全管理的实践经验反映组织业务目标的安全方针、目标和活动；反映组织业务目标的安全方针、目标和活动； 符合组织文化的安全实施方法；符合组织文化的安全实施方法； 管理层明显的支持和承诺；管理层明显的支持和承诺； 安全需求、风险评估和风险管理的正确理解；安全需求、风险评估和风险管理的正确理解；有效地向所有管理人员和员工推
72、行安全措施；有效地向所有管理人员和员工推行安全措施；向所有的员工和签约方提供本组织的信息安全方针与向所有的员工和签约方提供本组织的信息安全方针与标准；标准；提供适当的培训和教育；提供适当的培训和教育；一整套用于评估信息安全管理能力和反馈建议的测量一整套用于评估信息安全管理能力和反馈建议的测量系统系统http:/http:/系统安全工程能力成熟模型（系统安全工程能力成熟模型（ ISO 21827）适用于信息系统安全的工程组织、采购组织和评估机适用于信息系统安全的工程组织、采购组织和评估机构。构。发起者发起者美国国防部美国国防部美国国家安全局美国国家安全局开发开发SSE-CMM的目的的目的降低开发
73、和维护系统的花费；降低开发和维护系统的花费；提高工程进度和预算的一致性；提高工程进度和预算的一致性；选择合适的承包者。选择合适的承包者。11个过程域，个过程域，5个能力级别个能力级别安全体系（四）：安全体系（四）： SSE-CMMhttp:/http:/安全工程过程安全工程过程保证论据保证论据风险信息风险信息产品或服务产品或服务工程过程工程过程Engineering保证过程保证过程Assurance风险过程风险过程Riskhttp:/http:/风险风险PA04：评估威胁：评估威胁威胁信息威胁信息threatthreat脆弱性信息脆弱性信息vulnerabilityvulnerability影
74、响信息影响信息impactimpact风险信息风险信息PA05：评估脆弱性：评估脆弱性PA02：评估影响：评估影响PA03：评估安全风险：评估安全风险风险就是有害事件发生的可能性风险就是有害事件发生的可能性一个有害事件有三个部分组成：威胁、脆弱性和影响。一个有害事件有三个部分组成：威胁、脆弱性和影响。 http:/http:/工程工程安全工程与其它科目一样，它是一个包括概念、设计、实现、测试、部署、运安全工程与其它科目一样，它是一个包括概念、设计、实现、测试、部署、运行、维护、退出的完整过程。行、维护、退出的完整过程。SSE-CMM强调安全工程是一个大的项目队伍中的一部分，需要与其它科目工强调
75、安全工程是一个大的项目队伍中的一部分，需要与其它科目工程师的活动相互协调。程师的活动相互协调。 PA10指定安全要求指定安全要求需求、策略等需求、策略等配置信息配置信息解决方案、指导等解决方案、指导等风险信息风险信息PA08监视安全态势监视安全态势PA07协调安全协调安全PA01管理安全控制管理安全控制PA09提供安全输入提供安全输入http:/http:/保证保证证据证据证据证据保证论据保证论据PA11验证和证实安全验证和证实安全指定安全要求指定安全要求其他多个其他多个PAPA06建立保证论据建立保证论据保证是指安全需要得到满足的信任程度保证是指安全需要得到满足的信任程度SSE-CMM的信任
76、程度来自于安全工程过程可重复性的结果质量。的信任程度来自于安全工程过程可重复性的结果质量。 http:/http:/计划执行计划执行规范化执行规范化执行跟踪执行跟踪执行验证执行验证执行定义标准过程定义标准过程协调安全实施协调安全实施执行已定义的过程执行已定义的过程建立可测量的建立可测量的质量目标质量目标客观地管理过客观地管理过程的执行程的执行1非正式非正式执行执行2计划与跟踪计划与跟踪3充分定义充分定义4量化控制量化控制5连续改进连续改进执行执行基本基本实施实施改改进进组组织织能能力力改改进进过过程程的的有效性有效性能力级别能力级别代表安全工程组织的成熟级别代表安全工程组织的成熟级别 公共特性
77、公共特性0未实施未实施http:/http:/安全技术和产品安全技术和产品http:/http:/安全技术和产品安全技术和产品物理安全技术物理安全技术物理安全技术物理安全技术加密加密加密加密认证认证认证认证访问控制访问控制访问控制访问控制安全审计安全审计安全审计安全审计防火墙防火墙防火墙防火墙VPNVPN入侵检测入侵检测入侵检测入侵检测安全扫描安全扫描安全扫描安全扫描病毒防护技术病毒防护技术病毒防护技术病毒防护技术备份与恢复备份与恢复备份与恢复备份与恢复http:/http:/机房安全出入记录报警系统：IC卡技术、指纹技术、虹膜技术、面纹技术等录像监控系统：报警系统：门磁窗磁、红外报警机房屏蔽
78、采用屏蔽室：不锈钢丝网屏蔽室、钢板屏蔽室、屏蔽门、屏蔽窗、通风波导窗信号线的滤波电源线的滤波防电磁干扰和泄漏电源系统采用多路供电的方法，市电、动力电、专有电网、UPS供电等多路电源同时接入。采用电源净化系统。传输屏蔽屏蔽布线光缆传输终端设备辐射防范采用自噪声干扰技术点相关加扰技术同步仿真干扰技术物理安全技术物理安全技术http:/http:/加密加密加密技术分类：加密技术分类：v对称密钥加密技术（对称密钥加密技术（SymmetricSymmetric）v非对称密钥加密技术（非对称密钥加密技术（AsymmetricAsymmetric）v哈希加密技术（哈希加密技术（HashHash）http:/
79、http:/对称加密对称加密vDES/3DESvRC2、RC4、RC5、RC6vIDEAvBlowfish和TwofishvSkipjackvMarsvRijndael和SerpentAES : Rijndael1)允许建立128、192、256位密钥2)多平台支持（智能卡、8/32/64位处理器）3)速度快http:/http:/非对称加密非对称加密三个普通的组件：vRSAv数字签名算法（Digital Signature Algorithm）vDiffie-Hellma/Station-to-Station(STS)特点：1)使用密钥对，一半用来加密、一半用来解密2)速度慢http:/ht
80、tp:/HASH加密加密HASH算法:vMD2、MD4、MD5v安全哈希算法SHA-1 （160位哈希值、抗攻击能力强）用MD5sum命令实现哈希算法：Host#md5sum /usr/sbin/named5we5odble392,eoc97mbmd0003ndodom3xephttp:/http:/实用加密程序和协议实用加密程序和协议vIIS、PGPvMicrosoft Exchange Server、Windows 2000vPGP/MIME和S/MIMEv安全HTTP（Secure HTTP）v安全套接字层SSLhttp:/http:/加密强度加密强度v算法强度工业标准的算法v密钥的保密
81、性注意区分密钥和算法（后者不需保密）v密钥的长度2的n次方种破解可能性.2的40次1，099，511，627，776http:/http:/加密的优势加密的优势v数据保密性 确保只有特定的接受者才能查看内容v数据完整性 通过Hash算法确保数据不被篡改v认证 数字签名提供认证服务v不可否定性 数字签名允许用户证明信息交换确实发生过http:/http:/基于基于PKI的加密原理（一）的加密原理（一）Bob公钥A 私钥BAlice公钥Y 私钥ZBob给Alice的消息消息摘要随机对称密钥M被加密的文本被加密的摘要被加密的对称密钥用随机的对称密钥M加密用Bob的私有密钥B加密用Alice的对称密钥
82、Y加密http:/http:/基于基于PKI的加密原理（的加密原理（二二）Bob公钥Y 私钥ZAlice公钥A 私钥BBob给Alice的消息消息摘要随机对称密钥M被加密的对称密钥被加密的文本签名用Alice的私有密钥Z解密用随机对称密钥M解密用Bob的公用密钥A解密消息摘要消息摘要算法http:/http:/认证认证v你知道什么 密码认证v你有什么 智能卡 / 数字证书 ISO7816v你是谁 物理、遗传或生物测定学v你在哪儿 源IP (用于rlogin, rsh) DNS反向查找http:/http:/认证机制认证机制基于口令、用户名的身份认证基于口令、用户名的身份认证 基于主体特征的身份
83、认证：如指纹基于主体特征的身份认证：如指纹 基于基于IC卡卡+PIN号码的认证号码的认证 基于基于CA证书的身份认证证书的身份认证 其他的认证方式其他的认证方式http:/http:/基于口令、用户名的身份认证基于口令、用户名的身份认证UsernamePasswordPermissionroot!#4RAdmin3458rRWwebmaste234REdd2342RWEServer End user Username=rootPassword=!#$ 发起访问请求基于口令、用户名的简单身份鉴别验证用户名与口令回应访问请求，允许访问验证通过http:/http:/基于主体特征的身份认证基于主体特
84、征的身份认证UsernameFeaturePermissionRootSdffRAdmin8990RWWeb8668REftp8965RWEServer Workstation 传送特征信息 发起访问请求基于主体特征的身份鉴别验证用户特征信息回应访问请求，允许访问验证通过指纹识别器读取特征信息获得特征信息http:/http:/基于基于ICIC卡卡+PIN+PIN号码的认证号码的认证UsernameInformationPermissionAdmin1234RRitt8990RWRoot8668REweb8965RWEServer Workstation 传送身份验证信息 发起访问请求基于IC
85、卡+PIN号码的身份鉴别验证用户身份回应访问请求，允许访问验证通过读卡器输入PIN号码插入IC卡读取用户信息获得用户信息http:/http:/基于基于CACA证书的身份认证证书的身份认证基于CA证书的身份鉴别CA中心中心证书发布服务器证书发布服务器用户证书服务器证书用户证书传送证书给对方用于身份认证服务器证书传送证书给对方用于身份认证开始数字证书的签名验证开始数字证书的签名验证查找共同可信的CA查询黑名单验证都通过查找共同可信的CA 查询黑名单验证通过开始安全通讯http:/http:/特殊的认证技术特殊的认证技术vKerberosKerberos美国麻省理工学院为Athena工程而设计的，
86、为分布式计算环境提供一种安全的双向身份认证方法，并强调了客户机对服务器的认证，而别的身份认证技术往往只解决了服务器对客户机的认证。Kerberos有效地防止了来自服务器端身份冒领的欺骗。vOne-time passwordsOne-time passwords在登录过程中加入不确定因素，使每次登录过程中传送的信息都不相同，以提高登录过程安全性。例如：登录密码为MD5(用户名+密码+时间)，系统接收到登录口令后做个运算即可验证用产的合法性。http:/http:/访问控制访问控制访问控制机制确保每个系统只有它们想要的个体（按照安访问控制机制确保每个系统只有它们想要的个体（按照安全策略）才能够访问
87、。全策略）才能够访问。访问控制发生在认证过程之后，控制用户在系统中能访问访问控制发生在认证过程之后，控制用户在系统中能访问些什么，这种机制能用于赋予或拒绝权限。些什么，这种机制能用于赋予或拒绝权限。一个形象的比喻一个形象的比喻把访问控制看作是一个公司大楼的门禁系统。把访问控制看作是一个公司大楼的门禁系统。大大多多公公司司都都有有一一个个接接待待室室并并且且任任何何人人都都能能进进入入，这这个个接接待待室室可可以以看作是一个开放的看作是一个开放的WEB服务器，允许未授权的用户访问其主页。服务器，允许未授权的用户访问其主页。要要进进入入公公司司真真正正的的办办公公室室，人人们们需需要要出出示示身身
88、份份卡卡，只只有有经经过过认认证证的的员员工工才才能能进进入入办办公公区区域域，根根据据不不同同的的身身份份只只能能允允许许他他们们进进入入相相关的办公室。关的办公室。所有的操作系统都支持访问控制，访问控制是保护服务器所有的操作系统都支持访问控制，访问控制是保护服务器的基本机制，你必须在服务端上限制哪些用户可以访问服的基本机制，你必须在服务端上限制哪些用户可以访问服务和守护进程。务和守护进程。 http:/http:/访问控制列表访问控制列表访问控制列表（访问控制列表（ACL）信息系统把资源处理成有着某些特征和属性的对象，信息系统把资源处理成有着某些特征和属性的对象，资源可以是像打印机或磁盘这
89、样的设备，也可以是操资源可以是像打印机或磁盘这样的设备，也可以是操作系统，应用程序或内存，计算机上的文件，等等，作系统，应用程序或内存，计算机上的文件，等等，与这些资源安全相关的特性就是访问控制列表与这些资源安全相关的特性就是访问控制列表(ACL)。一个一个ACL是标识个人用户或组的清单，系统维护着一是标识个人用户或组的清单，系统维护着一个个ACL数据库，每个用户或组都被分配一个访问级别，数据库，每个用户或组都被分配一个访问级别，并根据这个数据库所包含的内容定义这些用户或组能并根据这个数据库所包含的内容定义这些用户或组能够执行什么。够执行什么。一个通过认证的用户仍必须通过一个通过认证的用户仍必
90、须通过ACL来取得相应的权来取得相应的权限。限。http:/http:/执行控制列表执行控制列表执行控制列表执行控制列表(ECL)限制应用程序运行时可以操作的资源和行为。限制应用程序运行时可以操作的资源和行为。用于特殊的应用程序，如用于特殊的应用程序，如Netscape Navigator，微软的，微软的Internet Explorer，IBM的的Notes。没有商业的操作系统或平台实施一个完全的没有商业的操作系统或平台实施一个完全的ECL策略。策略。UNIX系统系统包含了一些对于包含了一些对于rexec，rlogin和和rshell程序的执行控制列表版本。程序的执行控制列表版本。这些程序都
91、使用执行控制列表来确定在主机这些程序都使用执行控制列表来确定在主机A上的哪些用户可以在上的哪些用户可以在不登陆的情况下在不登陆的情况下在B主机上执行程序。但是这种形式的执行控制列主机上执行程序。但是这种形式的执行控制列表只能在远程系统上工作。表只能在远程系统上工作。 执行控制列表的一个好处就是能对于那些恶意的执行控制列表的一个好处就是能对于那些恶意的Active X控件程控件程序的破坏起到一定的保护作用。例如，你可以进一步地控制序的破坏起到一定的保护作用。例如，你可以进一步地控制.java小程序。小程序。软件商们已开始开发能够执行更多任务的软件商们已开始开发能够执行更多任务的ECL程序，来允许
92、用户程序，来允许用户自己决定程序的参数。自己决定程序的参数。 http:/http:/审计审计多数系统以日志文件的形式记录下所有的活动，多数系统以日志文件的形式记录下所有的活动，帮助判断是否发生了不允许的活动以及是怎样发帮助判断是否发生了不允许的活动以及是怎样发生的。生的。 被动审计被动审计简单的记录一些活动，不作处理；简单的记录一些活动，不作处理；非实时检测，必须查看这些日志然后根据其包含的内非实时检测，必须查看这些日志然后根据其包含的内容采取措施。容采取措施。主动审计主动审计主动地响应非法访问和入侵主动地响应非法访问和入侵结束一个登陆会话结束一个登陆会话拒绝一些主机的访问拒绝一些主机的访问
93、(包括包括WEB站点，站点，FTP服务器和服务器和e-mail服服务器务器)跟踪非法活动的源位置跟踪非法活动的源位置http:/http:/1.从从逻逻辑辑上上讲讲，防防火火墙墙既既是是一一个个分分离离器器、限限制制器器也也是是一一个个分分析析器器，有有效效地地监监控控内内外外网网之之间间的的任任何何活活动；动；2.从从具具体体实实现现上上讲讲，防防火火墙墙是是一一个个独独立立的的进进程程或或一一组紧密联系的进程，运行在路由器或服务器上；组紧密联系的进程，运行在路由器或服务器上；定义：定义：防防火火墙墙是是位位于于两两个个或或多多个个网网络络之之间间，执执行行访访问问控控制制策策略的一个或一组
94、系统，是一类防范措施的总称。略的一个或一组系统，是一类防范措施的总称。防火墙防火墙http:/http:/基本要求：基本要求：1.内内部部和和外外部部之之间间的的所所有有网网络络数数据据流流必必须须经经过过防防火墙火墙；2.只有符合安全政策的数据流才能通过防火墙只有符合安全政策的数据流才能通过防火墙；3.防火墙自身应对渗透防火墙自身应对渗透(penetration)免疫免疫。防火墙防火墙http:/http:/内部可信任网络内部可信任网络外部非信任网络外部非信任网络防火墙的基本作用防火墙的基本作用Internet防火墙防火墙1.过滤进出网络的非法数据过滤进出网络的非法数据http:/http:
95、/防火墙的其它作用防火墙的其它作用确确保保一一个个单单位位内内的的网网络络与与因因特特网网的的通通信信符符合合该该单单位位的安全方针的安全方针，为管理人员提供下列问题的答案为管理人员提供下列问题的答案: 谁在使用网络？谁在使用网络？ 他们在网络上做什么？他们在网络上做什么？ 他们什么时间使用了网络？他们什么时间使用了网络？ 他们上网去了何处？他们上网去了何处？ 谁要上网没有成功？谁要上网没有成功？2.管理进出网络的访问行为管理进出网络的访问行为http:/http:/3. 封堵某些不安全的服务如封堵某些不安全的服务如NIS、NFS4. 记录通过防火墙的访问行为和信息内容记录通过防火墙的访问行为
96、和信息内容5. 对网络攻击进行检测和告警对网络攻击进行检测和告警防火墙的其它作用防火墙的其它作用http:/http:/防火墙的分类防火墙的分类体体系系结结构构屏蔽路由器防火墙屏蔽路由器防火墙双宿主主机防火墙双宿主主机防火墙被屏蔽主机防火墙被屏蔽主机防火墙被屏蔽子网防火墙被屏蔽子网防火墙实实现现技技术术包过滤防火墙包过滤防火墙应用代理防火墙应用代理防火墙电路网关防火墙电路网关防火墙作用在网络层和传输层，根据分作用在网络层和传输层，根据分组包头源地址，目的地址和端口组包头源地址，目的地址和端口号、协议类型等标志确定是否允号、协议类型等标志确定是否允许数据包通过。只有满足过滤逻许数据包通过。只有满
97、足过滤逻辑的数据包才被转发到相应目的辑的数据包才被转发到相应目的地的出口端，其余数据包则被从地的出口端，其余数据包则被从数据流中丢弃。数据流中丢弃。作用在应用层，其特点是完全作用在应用层，其特点是完全“阻隔阻隔”了网络通信流，通过对每了网络通信流，通过对每种应用服务编制专门的代理程序，种应用服务编制专门的代理程序，实现监视和控制应用层通信流的实现监视和控制应用层通信流的作用。又称应用网关。作用。又称应用网关。工作在会话层，可以看成是传输工作在会话层，可以看成是传输层层TCP协议的代理网关，监控内协议的代理网关，监控内外网主机间的外网主机间的TCP握手信息，转握手信息，转发合法的会话发合法的会话
98、(Session) 数据包。数据包。又称电路中继又称电路中继(Circuit Relay)或或TCP代理（代理（TCPProxy）。）。使用单个具有包过滤功能的路由使用单个具有包过滤功能的路由器。器。使用具有两个网络接口分别连接使用具有两个网络接口分别连接内外网的一台主机，可提供从包内外网的一台主机，可提供从包过滤到应用代理的安全功能。过滤到应用代理的安全功能。由一个具有包过滤功能的屏蔽路由一个具有包过滤功能的屏蔽路由器和一个运行代理服务的双宿由器和一个运行代理服务的双宿主主机组成主主机组成。由两台屏蔽路由器和一台运行代由两台屏蔽路由器和一台运行代理服务的双宿主主机构成。理服务的双宿主主机构成
99、。http:/http:/基于路由器的防火墙 将过滤功能从路由器中独立出来，并加上审计和告警功能将过滤功能从路由器中独立出来，并加上审计和告警功能将过滤功能从路由器中独立出来，并加上审计和告警功能将过滤功能从路由器中独立出来，并加上审计和告警功能 针对用户需求，提供模块化的软件包针对用户需求，提供模块化的软件包针对用户需求，提供模块化的软件包针对用户需求，提供模块化的软件包 软件可通过网络发送，用户可根据需要构造防火墙软件可通过网络发送，用户可根据需要构造防火墙软件可通过网络发送，用户可根据需要构造防火墙软件可通过网络发送，用户可根据需要构造防火墙 与第一代防火墙相比，安全性提高了，价格降低了
100、与第一代防火墙相比，安全性提高了，价格降低了与第一代防火墙相比，安全性提高了，价格降低了与第一代防火墙相比，安全性提高了，价格降低了 利用路由器本身对分组的解析利用路由器本身对分组的解析利用路由器本身对分组的解析利用路由器本身对分组的解析, , , ,进行分组过滤进行分组过滤进行分组过滤进行分组过滤 过滤判断依据：地址、端口号、过滤判断依据：地址、端口号、过滤判断依据：地址、端口号、过滤判断依据：地址、端口号、IPIPIPIP旗标及其它网络特征旗标及其它网络特征旗标及其它网络特征旗标及其它网络特征 防火墙与路由器合为一体，只有过滤功能防火墙与路由器合为一体，只有过滤功能防火墙与路由器合为一体，
101、只有过滤功能防火墙与路由器合为一体，只有过滤功能 适用于对安全性要求不高的网络环境适用于对安全性要求不高的网络环境适用于对安全性要求不高的网络环境适用于对安全性要求不高的网络环境 是批量上市的专用防火墙产品是批量上市的专用防火墙产品是批量上市的专用防火墙产品是批量上市的专用防火墙产品 包括分组过滤或者借用路由器的分组过滤功能包括分组过滤或者借用路由器的分组过滤功能包括分组过滤或者借用路由器的分组过滤功能包括分组过滤或者借用路由器的分组过滤功能 装有专用的代理系统，监控所有协议的数据和指令装有专用的代理系统，监控所有协议的数据和指令装有专用的代理系统，监控所有协议的数据和指令装有专用的代理系统，
102、监控所有协议的数据和指令 保护用户编程空间和用户可配置内核参数的设置保护用户编程空间和用户可配置内核参数的设置保护用户编程空间和用户可配置内核参数的设置保护用户编程空间和用户可配置内核参数的设置 安全性和速度大为提高。安全性和速度大为提高。安全性和速度大为提高。安全性和速度大为提高。 防火墙厂商具有操作系统的源代码，并可实现安全内核防火墙厂商具有操作系统的源代码，并可实现安全内核防火墙厂商具有操作系统的源代码，并可实现安全内核防火墙厂商具有操作系统的源代码，并可实现安全内核 去掉了不必要的系统特性，加固内核，强化安全保护去掉了不必要的系统特性，加固内核，强化安全保护去掉了不必要的系统特性，加固
103、内核，强化安全保护去掉了不必要的系统特性，加固内核，强化安全保护 在功能上包括了分组过滤、应用网关、电路级网关在功能上包括了分组过滤、应用网关、电路级网关在功能上包括了分组过滤、应用网关、电路级网关在功能上包括了分组过滤、应用网关、电路级网关 增加了许多附加功能：加密、鉴别、审计、增加了许多附加功能：加密、鉴别、审计、增加了许多附加功能：加密、鉴别、审计、增加了许多附加功能：加密、鉴别、审计、NATNATNATNAT转换转换转换转换 透明性好，易于使用透明性好，易于使用透明性好，易于使用透明性好，易于使用基于安全操作系统的防火墙基于通用操作系统的防火墙用户化的防火墙工具套防火墙的发展防火墙的发
104、展http:/http:/防火墙的体系结构防火墙的体系结构传统防火墙技术：传统防火墙技术：简单包过滤技术简单包过滤技术状态检测包过滤技术状态检测包过滤技术应用代理技术应用代理技术目前市场上主流产品的形态：目前市场上主流产品的形态：集成了状态检测包过滤和应用代理的集成了状态检测包过滤和应用代理的混合型产品混合型产品http:/http:/简单包过滤简单包过滤PacketFilter优点：优点： 速度快，性能高 对应用程序透明 实现简单缺点：缺点： 安全性比较差 伸缩性差 维护不直观从192.168.0.0网段到Internet的HTTP访问？放行放行/禁止通行！禁止通行！http:/http:/
105、状态检测技术状态检测技术StatefulInspection协议协议源地址源地址目的地址目的地址SYNACKTCP10.1.1.1:3456202.12.25.1:8010002000http:/http:/应用网关（代理）型应用网关（代理）型Proxy优点：优点： 安全性非常高 提供应用层的安全 提供用户级的控制缺点：缺点： 性能很差 只支持有限的应用 对用户不透明 安全性依赖于底层OS 一般用于代理内部网 到外部网的访问想从内部网访问外部的服务器？我帮你发请求吧。http:/http:/防火墙的功能防火墙的功能访问控制访问控制进 行 访问 规 则检查发起 访问请求合法请求则允许对外访问将访
106、问记录写进日志文件合法请求则允许对外访问发起访问请求防火墙在此处的功能：防火墙在此处的功能：防火墙在此处的功能：防火墙在此处的功能：1 1、工作子网与外部子网的物理、工作子网与外部子网的物理、工作子网与外部子网的物理、工作子网与外部子网的物理 隔离隔离隔离隔离2 2、访问控制、访问控制、访问控制、访问控制3 3、对工作子网做、对工作子网做、对工作子网做、对工作子网做NATNAT地址转换地址转换地址转换地址转换4 4、日志记录、日志记录、日志记录、日志记录InternetInternet区域区域InternetInternet边界路由器边界路由器DMZDMZ区域区域WWWMailDNS内部工作子
107、网内部工作子网管理子网一般子网内部WWW重点子网内部工作子网与外网的访问控制内部工作子网与外网的访问控制http:/http:/InternetInternet区域区域InternetInternet边界路由器边界路由器进 行 访问 规 则检查发起 访问请求合法请求则允许对外访问将访问记录写进日志文件禁止对外发起连结请求发起访问请求防火墙在此处的功能：防火墙在此处的功能：防火墙在此处的功能：防火墙在此处的功能：1 1、DMZDMZ网段与外部子网的物理隔离网段与外部子网的物理隔离网段与外部子网的物理隔离网段与外部子网的物理隔离2 2、访问控制、访问控制、访问控制、访问控制3 3、对、对、对、对D
108、MZDMZ子网做子网做子网做子网做MAPMAP映射映射映射映射4 4、日志记录、日志记录、日志记录、日志记录DMZDMZ区域区域WWWMailDNS内部工作子网内部工作子网管理子网一般子网内部WWW重点子网DMZ区域与外网的访问控制区域与外网的访问控制防火墙的功能防火墙的功能访问控制访问控制http:/http:/进 行 访问 规 则检查发起 访问请求合法请求则允许对外访问将访问记录写进日志文件禁止对 工作子网 发起连结 请求防火墙在此处的功能：防火墙在此处的功能：防火墙在此处的功能：防火墙在此处的功能：1 1、DMZDMZ网段与工作子网的物理隔离网段与工作子网的物理隔离网段与工作子网的物理隔
109、离网段与工作子网的物理隔离2 2、访问控制、访问控制、访问控制、访问控制3 3、日志记录、日志记录、日志记录、日志记录发起 访问请求InternetInternet区域区域InternetInternet边界路由器边界路由器DMZDMZ区域区域WWWMailDNS内部工作子网内部工作子网管理子网一般子网内部WWW重点子网内部工作子网与内部工作子网与DMZ区的访问控制区的访问控制防火墙的功能防火墙的功能访问控制访问控制http:/http:/防火墙的功能防火墙的功能地址转换地址转换目的目的解决解决IP地址空间不足问题地址空间不足问题将现有的私有将现有的私有TCP/IP网络连接到公共网络时的网络连
110、接到公共网络时的IP编址问题编址问题向外界隐藏内部网结构向外界隐藏内部网结构方式方式静态转换静态转换1-1： 简单的地址翻译简单的地址翻译动态转换动态转换M-N： 多个内部网地址翻译到多个内部网地址翻译到N个外部个外部IP地址池地址池端口映射（端口映射（PAT）M-1： 多个内部网地址翻译到多个内部网地址翻译到1个外部个外部IP地址地址负载均衡负载均衡1-M：1个外部个外部IP地址对应多个内部服务器地址对应多个内部服务器http:/http:/防火墙的其他功能防火墙的其他功能身份认证身份认证内容过滤内容过滤安全审计安全审计http:/http:/防火墙的作用防火墙的作用阻止非法进入阻止非法进入
111、1. 验明正身2. 检查权限http:/http:/防火墙办防火墙办不到的事不到的事病毒等病毒等恶性程序恶性程序可利用可利用emailemail夹带等攻击形式夹带等攻击形式夹带闯关、入侵成功！http:/http:/VPN(Virtual VPN(Virtual Private Private Network) Network) 指指指指 的的的的 是是是是 以以以以 公公公公 用用用用 开开开开 放放放放 的的的的 网网网网 络络络络 ( (如如如如Internet)Internet)作作作作为为为为基基基基本本本本传传传传输输输输媒媒媒媒体体体体，通通通通过过过过加加加加密密密密和和和和验
112、验验验证证证证网网网网络络络络流流流流量量量量来来来来保保保保护护护护在在在在公公公公共共共共网网网网络络络络上上上上传传传传输输输输的的的的私私私私有有有有信信信信息息息息不不不不会会会会被被被被窃窃窃窃取取取取和和和和篡篡篡篡改改改改，从从从从而而而而向向向向最最最最终终终终用用用用户户户户提供类似于私有网络提供类似于私有网络提供类似于私有网络提供类似于私有网络(Private Network)(Private Network)性能的网络服务技术。性能的网络服务技术。性能的网络服务技术。性能的网络服务技术。远程访问Internet内部网分支机构虚拟私有网虚拟私有网虚拟私有网合作伙伴虚拟专用
113、网（虚拟专用网（VPNVPN）http:/http:/VPNVPN技术的分类技术的分类OSIOSI七层模型七层模型VPNVPN技术技术应用层应用层S-HTTP/S-MIMES-HTTP/S-MIME表示层表示层会话层会话层SOCKS v5SOCKS v5传输层传输层SSL/TLSSSL/TLS网络层网络层GRE/IPSEC/MPLSGRE/IPSEC/MPLS数据链路层数据链路层PPTP/L2F/L2TPPPTP/L2F/L2TP物理层物理层信信道道加加密密信信源源加加密密http:/http:/IPSEC VPNIPSEC VPNpIPv4本身并不具任何安全特性，很容易便可伪造出本身并不具任
114、何安全特性，很容易便可伪造出IP包包的地址、修改其内容、重播以前的包以及在传输途中拦的地址、修改其内容、重播以前的包以及在传输途中拦截并查看包的内容。截并查看包的内容。pIPSec解决解决IPv4以下安全需求：以下安全需求： 数据机密性数据机密性数据机密性数据机密性/ /有限的数据流机密性：隐藏明文数据内容或整个有限的数据流机密性：隐藏明文数据内容或整个有限的数据流机密性：隐藏明文数据内容或整个有限的数据流机密性：隐藏明文数据内容或整个IPIP包，通常靠加密来实现；包，通常靠加密来实现；包，通常靠加密来实现；包，通常靠加密来实现； 数据完整性验证：证实数据报文的内容在传输过程中没被修改过，数据
115、完整性验证：证实数据报文的内容在传输过程中没被修改过，数据完整性验证：证实数据报文的内容在传输过程中没被修改过，数据完整性验证：证实数据报文的内容在传输过程中没被修改过，无论是被故意改动或是由于发生了随机的传输错误；无论是被故意改动或是由于发生了随机的传输错误；无论是被故意改动或是由于发生了随机的传输错误；无论是被故意改动或是由于发生了随机的传输错误； 数据源的身份认证：证实数据报文是所声称的发送者发出的；数据源的身份认证：证实数据报文是所声称的发送者发出的；数据源的身份认证：证实数据报文是所声称的发送者发出的；数据源的身份认证：证实数据报文是所声称的发送者发出的； 抗重放攻击保护：保证攻击者
116、不能截获数据报文后某个时间再重抗重放攻击保护：保证攻击者不能截获数据报文后某个时间再重抗重放攻击保护：保证攻击者不能截获数据报文后某个时间再重抗重放攻击保护：保证攻击者不能截获数据报文后某个时间再重新发放数据报文（改动过或未改动过）；新发放数据报文（改动过或未改动过）；新发放数据报文（改动过或未改动过）；新发放数据报文（改动过或未改动过）； 自动的密钥管理和安全关联管理：保证只需少量或根本不需要手自动的密钥管理和安全关联管理：保证只需少量或根本不需要手自动的密钥管理和安全关联管理：保证只需少量或根本不需要手自动的密钥管理和安全关联管理：保证只需少量或根本不需要手工配置，就可以在扩展的网络上方便
117、精确地实现公司的虚拟使用工配置，就可以在扩展的网络上方便精确地实现公司的虚拟使用工配置，就可以在扩展的网络上方便精确地实现公司的虚拟使用工配置，就可以在扩展的网络上方便精确地实现公司的虚拟使用网络方针。网络方针。网络方针。网络方针。http:/http:/数据机密性保护数据机密性保护拨号服务器拨号服务器PSTNPSTNInternetInternet区域区域InternetInternet边界路由器边界路由器内部工作子网内部工作子网管理子网一般子网内部WWW重点子网下属机构下属机构DDN/FRDDN/FRX.25X.25专线专线DMZDMZ区域区域WWWMailDNS密文密文传输明文传输明文传
118、输http:/http:/数据完整性保护数据完整性保护内部工作子网内部工作子网管理子网一般子网内部WWW重点子网下属机构下属机构DDN/FRDDN/FRX.25X.25专线专线原始数据包对原始数据包进行Hash加密后的数据包加密后的数据包摘要摘要Hash摘要摘要对原始数据包进行加密加密后的数据包加密后的数据包加密加密后的数据包加密后的数据包摘要摘要加密后的数据包加密后的数据包摘要摘要摘要摘要解密原始数据包Hash原始数据包与原摘要进行比较，验证数据的完整性http:/http:/数据源身份认证数据源身份认证内部工作子网内部工作子网管理子网一般子网内部WWW重点子网下属机构下属机构DDN/FRD
119、DN/FRX.25X.25专线专线原始数据包对原始数据包进行HashHash摘要摘要加密摘要摘要摘要摘要取出DSS原始数据包Hash原始数据包两摘要相比较私钥原始数据包DSSDSS将数字签名附在原始包后面供对方验证签名得到数字签名原始数据包DSS原始数据包DSSDSS解密相等吗？验证通过http:/http:/ VPNVPN基本功能特性基本功能特性WebWeb、MailMail服务器等服务器等因特网因特网分支机构分支机构加密隧道加密隧道&1%$*)!&1%$*)!？安全区域划分安全区域划分增强内网安全增强内网安全VPNVPN网关保护内网网关保护内网 及信息传输安全及信息传输安全工作站域工作站域
120、服务器域服务器域VPNVPN网关间建立加密隧道网关间建立加密隧道VPNVPN移动客户端保证移动客户端保证 移动办公安全移动办公安全http:/http:/入侵检测系统（入侵检测系统（IDSIDS）入侵行为入侵行为对信息系统资源的非授权使用，它可以对信息系统资源的非授权使用，它可以造成系统数据的丢失和破坏、可以造成系统拒绝对合造成系统数据的丢失和破坏、可以造成系统拒绝对合法用户服务等危害。法用户服务等危害。入侵检测入侵检测对指向计算机网络资源的恶意行为的识对指向计算机网络资源的恶意行为的识别和响应的过程。别和响应的过程。入侵检测系统入侵检测系统是通过从计算机网络或计算机系统中的若干关键点收集信息
121、是通过从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和遭到袭击的迹象的一种安全技术。（略的行为和遭到袭击的迹象的一种安全技术。（ICSA入侵检入侵检测系统论坛）测系统论坛）是一套监控和识别计算机系统或网络系统中发生的事件，根是一套监控和识别计算机系统或网络系统中发生的事件，根据规则进行安全审计和响应的软件或硬件系统。据规则进行安全审计和响应的软件或硬件系统。http:/http:/为什么需要为什么需要IDSIDS？防火墙不能保证绝对的安全防火墙不能保证绝对的安全可以阻止一类人群的进入
122、，但无可以阻止一类人群的进入，但无法阻止混同一类人群中的破坏分法阻止混同一类人群中的破坏分子。子。不能防范利用服务器漏洞或通信不能防范利用服务器漏洞或通信协议的缺陷进行的攻击。协议的缺陷进行的攻击。一般不提供对内网攻击的防范。一般不提供对内网攻击的防范。策略配置不当或自身漏洞会导致策略配置不当或自身漏洞会导致安全隐患。安全隐患。不能防范内部用户主动泄密的行不能防范内部用户主动泄密的行为。为。无法防范数据驱动型的攻击。无法防范数据驱动型的攻击。确保网络的安全确保网络的安全, ,就要对网络系统内部通信进行实时的就要对网络系统内部通信进行实时的检测检测 , , 这就需要这就需要IDSIDS无时不在的
123、防护！无时不在的防护！访问控制系统可以不让低级权限的人做越权工作，但无法保证高访问控制系统可以不让低级权限的人做越权工作，但无法保证高级权限的做破坏工作，也无法保证低级权限的人通过非法行为获级权限的做破坏工作，也无法保证低级权限的人通过非法行为获得高级权限得高级权限http:/http:/入侵检测系统的主要功能入侵检测系统的主要功能监测并分析用户和系统的活动；监测并分析用户和系统的活动；核查系统配置和漏洞；核查系统配置和漏洞；评估系统关键资源和数据文件的完整评估系统关键资源和数据文件的完整性；性；识别已知的攻击行为；识别已知的攻击行为；统计分析异常行为；统计分析异常行为；操作系统日志管理，并识
124、别违反安全操作系统日志管理，并识别违反安全策略的用户活动。策略的用户活动。 http:/http:/入侵检测系统的分类入侵检测系统的分类基于网络的入侵检测基于网络的入侵检测 基于网络的入侵检测系统使用原始网络包作为数据源。基于网络的入侵检测系统使用原始网络包作为数据源。基于网络的基于网络的IDS通常利用一个运行在混杂模式下的网络通常利用一个运行在混杂模式下的网络适配器来实时监视并分析通过网络的所有通信业务。适配器来实时监视并分析通过网络的所有通信业务。 基于主机的入侵检测基于主机的入侵检测 往往以系统日志、应用程序日志等作为数据源，当然往往以系统日志、应用程序日志等作为数据源，当然也可以通过其
125、他手段（如监督系统调用）从所在的主也可以通过其他手段（如监督系统调用）从所在的主机收集信息进行分析。主机型入侵检测系统保护的一机收集信息进行分析。主机型入侵检测系统保护的一般是所在的系统。般是所在的系统。 http:/http:/入侵检测分析方法入侵检测分析方法异常检测异常检测假设入侵者活动是异常于正常主体的活动，建立正常活动的假设入侵者活动是异常于正常主体的活动，建立正常活动的“活活动简档动简档”，当前主体的活动违反其统计规律时，认为可能是，当前主体的活动违反其统计规律时，认为可能是“入入侵侵”行为。行为。特征检测特征检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体假设入侵者活动
126、可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。活动是否符合这些模式。 协议分析协议分析遵循遵循RFC 规范，充分利用网络协议的高度有序性，只分析数据包规范，充分利用网络协议的高度有序性，只分析数据包中的特定字节，快速检测某种攻击特征的存在。中的特定字节，快速检测某种攻击特征的存在。关联分析关联分析不仅简单分析单次攻击事件，还根据前后发生的事件确认是否确不仅简单分析单次攻击事件，还根据前后发生的事件确认是否确有攻击发生，攻击行为是否生效。有攻击发生，攻击行为是否生效。http:/http:/网络入侵检测产品的架构网络入侵检测产品的架构Sensor/Monitor/Agent/E
127、ngine（传感器（传感器/探测器探测器/代理代理/引擎）引擎） 传感器负责采集数据传感器负责采集数据(网络包、系统日志等网络包、系统日志等)、分析数据并生成安全事件。分析数据并生成安全事件。Console/Manager（控制台（控制台/管理中心）管理中心） 控制台主要起到中央管理的作用，商品化的控制台主要起到中央管理的作用，商品化的产品通常提供图形界面的控制台，这些控制产品通常提供图形界面的控制台，这些控制台基本上都支持台基本上都支持Windows NT平台。平台。http:/http:/传感器结构传感器结构控制台结构控制台结构网络入侵检测产品的架构网络入侵检测产品的架构http:/htt
128、p:/利用入侵检测保护网络应用利用入侵检测保护网络应用DMZDMZE-MailE-MailFileTransferFileTransferHTTPHTTPIntranetIntranet企业网络企业网络企业网络企业网络生产部生产部生产部生产部工程部工程部工程部工程部市场部市场部人事部人事部人事部人事部路由路由路由路由InternetInternet中继中继外部攻击外部攻击外部攻击外部攻击警告警告警告警告! !记录攻击记录攻击外部攻击外部攻击外部攻击外部攻击终止连接终止连接http:/http:/IPSIPS简介简介IPS是一种主动的、积极的入侵防范、阻止系统，其设计是一种主动的、积极的入侵防范
129、、阻止系统，其设计旨在预先对入侵活动和攻击性网络流量进行拦截，避免其旨在预先对入侵活动和攻击性网络流量进行拦截，避免其造成任何损失，而不是简单地在恶意流量传送时或传送后造成任何损失，而不是简单地在恶意流量传送时或传送后才发出警报。才发出警报。IPS部署在网络的进出口处，当它检测到攻击企图后，它部署在网络的进出口处，当它检测到攻击企图后，它会自动地将攻击包丢掉或采取措施将攻击源阻断。会自动地将攻击包丢掉或采取措施将攻击源阻断。IPS是建立在是建立在IDS基础上的新生网络安全产品，与基础上的新生网络安全产品，与IDS相比，相比，能够对网络起到更好的实时防护作用。能够对网络起到更好的实时防护作用。
130、主动响应入侵检测系统主动响应入侵检测系统 入侵检测系统与防火墙联动入侵检测系统与防火墙联动 入侵防御系统入侵防御系统http:/http:/IPSIPS简介简介IPS 技术需要面对很多挑战，其中主要有三点：技术需要面对很多挑战，其中主要有三点： 一是单点故障。一是单点故障。设计要求设计要求IPS必须以嵌入模式工作在网络中，而这就可能造成瓶颈问题或单点必须以嵌入模式工作在网络中，而这就可能造成瓶颈问题或单点故障。如果故障。如果IPS出现故障而关闭，用户就会面对一个由出现故障而关闭，用户就会面对一个由IPS造成的拒绝服务问造成的拒绝服务问题，所有客户都将无法访问企业网络提供的应用。题，所有客户都将
131、无法访问企业网络提供的应用。 二是性能瓶颈。二是性能瓶颈。即使即使 IPS 设备不出现故障，它仍然是一个潜在的网络瓶颈，不仅会增加滞后设备不出现故障，它仍然是一个潜在的网络瓶颈，不仅会增加滞后时间，而且会降低网络的效率，时间，而且会降低网络的效率，IPS必须与数千兆或者更大容量的网络流量保必须与数千兆或者更大容量的网络流量保持同步，尤其是当加载了数量庞大的检测特征库时，设计不够完善的持同步，尤其是当加载了数量庞大的检测特征库时，设计不够完善的 IPS 嵌嵌入设备无法支持这种响应速度。入设备无法支持这种响应速度。三是误报和漏报。三是误报和漏报。一旦生成了警报，最基本的要求就是一旦生成了警报，最基
132、本的要求就是IPS能够对警报进行有效处理。如果入侵能够对警报进行有效处理。如果入侵特征编写得不是十分完善，那么特征编写得不是十分完善，那么“误报误报”就有了可乘之机，导致合法流量也就有了可乘之机，导致合法流量也有可能被意外拦截。对于实时在线的有可能被意外拦截。对于实时在线的IPS来说，一旦拦截了来说，一旦拦截了“攻击性攻击性”数据包，数据包，就会对来自可疑攻击者的所有数据流进行拦截。如果触发了误报警报的流量就会对来自可疑攻击者的所有数据流进行拦截。如果触发了误报警报的流量恰好是某个客户订单的一部分，其结果可想而知，这个客户整个会话就会被恰好是某个客户订单的一部分，其结果可想而知，这个客户整个会
133、话就会被关闭，而且此后该客户所有重新连接到企业网络的合法访问都会被关闭，而且此后该客户所有重新连接到企业网络的合法访问都会被“尽职尽尽职尽责责”的的IPS拦截。拦截。http:/http:/安全扫描安全扫描安全扫描就是对计算机系统或者其它网络安全扫描就是对计算机系统或者其它网络设备进行安全相关的检测，以找出安全隐设备进行安全相关的检测，以找出安全隐患和可被黑客利用的漏洞。患和可被黑客利用的漏洞。安全扫描软件是把双刃剑，黑客利用它入安全扫描软件是把双刃剑，黑客利用它入侵系统，而系统管理员掌握它以后又可以侵系统，而系统管理员掌握它以后又可以有效的防范黑客入侵。有效的防范黑客入侵。安全扫描是保证系统
134、和网络安全必不可少安全扫描是保证系统和网络安全必不可少的手段，必须仔细研究利用。的手段，必须仔细研究利用。 http:/http:/安全扫描的检测技术安全扫描的检测技术基于应用的检测技术，它采用被动的，非破基于应用的检测技术，它采用被动的，非破坏性的办法检查应用软件包的设置，发现安坏性的办法检查应用软件包的设置，发现安全漏洞。全漏洞。基于主机的检测技术，它采用被动的，非破基于主机的检测技术，它采用被动的，非破坏性的办法对系统进行检测。坏性的办法对系统进行检测。 基于目标的漏洞检测技术，它采用被动的，基于目标的漏洞检测技术，它采用被动的，非破坏性的办法检查系统属性和文件属性，非破坏性的办法检查系
135、统属性和文件属性，如数据库，注册号等。如数据库，注册号等。基于网络的检测技术，它采用积极的，非破基于网络的检测技术，它采用积极的，非破坏性的办法来检验系统是否有可能被攻击崩坏性的办法来检验系统是否有可能被攻击崩溃。溃。 http:/http:/安全扫描系统的作用安全扫描系统的作用 协调了其它的安全设备协调了其它的安全设备使枯燥的系统安全信息易于理解，告诉了使枯燥的系统安全信息易于理解，告诉了你系统当前的安全状况你系统当前的安全状况纠正系统的错误设置纠正系统的错误设置使得安全管理可由普通用户来负责使得安全管理可由普通用户来负责为制定安全规则提供依据为制定安全规则提供依据http:/http:/利
136、用网络漏洞扫描系统进行安全评估利用网络漏洞扫描系统进行安全评估DMZDMZ E-MailE-Mail File Transfer File Transfer HTTP HTTPIntranetIntranet生产部生产部工程部工程部市场部市场部人事部人事部路由路由InternetInternet中继中继安全弱点扫描安全弱点扫描通讯通讯通讯通讯 & & 应用服务层应用服务层应用服务层应用服务层http:/http:/利用系统安全评估软件进行可适应性安全利用系统安全评估软件进行可适应性安全弱点监测和响应弱点监测和响应DMZDMZ E-MailE-Mail File Transfer File Tr
137、ansfer HTTP HTTPIntranetIntranet企业网络企业网络企业网络企业网络生产部生产部工程部工程部市场部市场部人事部人事部路由路由InternetInternet中继中继安全弱点扫描安全弱点扫描操作系统层操作系统层操作系统层操作系统层http:/http:/网络安全评估系统对于网络安全评估系统对于DMZDMZ区域的检测区域的检测DMZDMZ E-MailE-Mail File Transfer File Transfer HTTP HTTPIntranetIntranet企业网络企业网络企业网络企业网络生产部生产部工程部工程部市场部市场部人事部人事部路由路由Interne
138、tInternet中继中继应用程序层应用程序层应用程序层应用程序层安全弱点扫描安全弱点扫描http:/http:/正确认识安全扫描软件正确认识安全扫描软件不能弥补由于认证机制薄弱带来的问题不能弥补由于认证机制薄弱带来的问题不能弥补由于协议本身的问题不能弥补由于协议本身的问题不能处理所有的数据包攻击，当网络繁忙不能处理所有的数据包攻击，当网络繁忙时它也分析不了所有的数据流时它也分析不了所有的数据流当受到攻击后要进行调查，离不开安全专当受到攻击后要进行调查，离不开安全专家的参与家的参与http:/http:/什么是病毒？什么是病毒？能够引起计算机故障能够引起计算机故障,破坏计算数据的程序统称为计算
139、机病毒。破坏计算数据的程序统称为计算机病毒。当今大家说当今大家说“病毒病毒”的时候，广义指的是所有的的时候，广义指的是所有的“恶意程序恶意程序” ，包括包括:传统病毒传统病毒 Viruses木马程序木马程序 Trojan Horses蠕虫蠕虫 Worms病毒产生器病毒产生器 Dropper垃圾邮件垃圾邮件 Spam恶作剧程序恶作剧程序 Hoaxes/Jokes防病毒防病毒http:/http:/计算机病毒的演化趋势计算机病毒的演化趋势 攻击和威胁转移到服务器和网关，对防毒体系提出新的挑战攻击和威胁转移到服务器和网关，对防毒体系提出新的挑战IDC, 2004邮件邮件/互联网互联网邮件邮件Code
140、 RedNimda2001KlezBraid2002SQL Slammer冲击波冲击波20032004震荡波震荡波2000Love LetterVeronaMelissa1999网络网络物理介质物理介质1998CIH1988MorrisBrain19871977磁芯大战磁芯大战1983Fred Cohen http:/http:/互联网病毒互联网病毒InternetInternet文件共享服务器文件共享服务器邮件服务器邮件服务器Client网关网关防火墙防火墙病毒利用病毒利用emailemail web FTPweb FTP等应用等应用服务进入企业内服务进入企业内部网络进行传播部网络进行传播現
141、現今今emailemail病毒都病毒都具有利用具有利用电子邮件电子邮件系统自动快速散播系统自动快速散播的特性，迅速造成的特性，迅速造成重大损失重大损失http:/http:/互联网互联网互联网互联网企業網路企業網路EmailEmail病毒的可怕病毒的可怕邮件服务器一傳十、十傳百造成 email当机网络瘫痪！http:/http:/一个企业级的病毒解决方案一个企业级的病毒解决方案 一套优秀的一套优秀的防毒软件防毒软件 一个工作勤奋努力的一个工作勤奋努力的网络管理员网络管理员 + +=以往的病毒防护体系不能满足安全需求以往的病毒防护体系不能满足安全需求http:/http:/全面的病毒防护体系全面
142、的病毒防护体系 网关病毒防护网关病毒防护 工作站病毒防护工作站病毒防护 服务器病毒防护服务器病毒防护 网络中心病毒控制台网络中心病毒控制台 自动更新升级的维护策略自动更新升级的维护策略http:/http:/病毒更新站点病毒更新站点总部主升级服务器总部主升级服务器总行客户端总行客户端分部分部主升级服务器主升级服务器代理服务器代理服务器总行服务器总行服务器客户端客户端服务器服务器总行分部分部主升级服务器主升级服务器客户端客户端服务器服务器分发分发分发分发下载下载分发分发/登录登录分发分发分发分发/登录登录分发分发分发分发/登录登录分发分发分发分发自动更新自动更新http:/http:/备份和恢复
143、备份和恢复 双机热备双机热备存储备份存储备份 Web服务器页面保护服务器页面保护 灾难恢复灾难恢复http:/http:/双机热备双机热备公共网络主服务器磁盘阵列心跳线备份服务器请求服务响应服务你工作正常吗?我有问题,请立即接管我的服务请求服务主服务器有问题,暂时由备份服务器提供服务响应服务http:/http:/存储备份存储备份主备份服务器不管是什么样的平台，专业的存储备份软件能使用统一的数据格式进行备份不管是什么样的平台，专业的存储备份软件能使用统一的数据格式进行备份邮件代理邮件代理数据库代理数据库代理 forSQLforSQLUNIXUNIX代理代理MacintoshMacintosh代
144、理代理UnicenterTNGFramework数据库NT代理管理、察看、监测远在千里之外的备份任务Win31/95/98Win31/95/98代理代理NetwareNetware代理代理磁带机或磁带库2磁带机或磁带库1下达备份指令执行指令备份数据流备份数据流写入磁带2Win31/95/98Win31/95/98代理代理远程备份远程备份下达备份指令执行指令备份数据流写入磁带1http:/http:/InternetInternet区域区域InternetInternet边界路由器边界路由器WebWeb服务器的页面保护服务器的页面保护DMZ区域WWW Mail Webguard检 测到页面被修改
145、受攻击前的页面：欢迎你访问某某公司信息服务器，黑客发起攻击遭遇攻击Webguard页面保护软件Webguard立即将页面恢复到被篡改前的状态内部工作子网内部工作子网内部WWW一般子网管理子网重点子网受攻击后的页面：我是黑客，你的网站已被黑掉，哈！受攻击前的页面：欢迎你访问某某公司信息服务器，http:/http:/灾难恢复示意图灾难恢复示意图磁带机或磁带库2在系统正常时用Disaster Recovery 软件制作灾难恢复引导盘在系统崩溃时请按照如下步骤操作首先插入灾难恢复引导盘引导机器按照提示插入系统光盘按照提示插入上一次完全备份的磁带一切OKhttp:/http:/一些安全建议一些安全建议
146、http:/http:/安全的贯彻实施安全的贯彻实施序号步骤 描述 1根据需要对资源分类 根据对机构的重要性对系统资源和数据资源进行分类。 2定义一个安全策略 定义和发布公司的安全策略，使所有的员工都知道安全策略是放置到什么位置并且如何应用到他们的工作当中。 3保护每个资源和服务 这步包括下面所有的活动 改变服务器和系统的默认值 删除一些无关的服务 尤其是保护HTTP，Telnet，FTP这些服务 保护配置文件 协同使用不同的方案和技术 坚持地监视公共连接，包括VPN，modem接入 确保物理安全 锁定注册表项和密码文件4日志，测试和评估 在所有的系统上实行日志记录，并定期有规律地检查这些日志
147、；要配置你的日志文件，使它们不能成为安全威胁。 5重复执行和保持更新 即使已采取了上述的四个步骤也永远不要假设你已经完成了安全保护。你需要记住当个新的黑客技术开发出来后你现有的策略就可能会存在缺口。 http:/http:/保护保护TCP/IPTCP/IP服务服务SpecializedaccountsNT和UNIX都有特殊的系统帐号用来管理服务或守护进程。例如在WindowsNT的Intemet服务中的“localsystem”管理帐号，可以直接用来登陆，并有着管理的优先权限。改变这些默认帐号的名字并降低权限可以使管理员更好地控制和审计所有的Internet服务，增加安全性。TheWebSer
148、ver把操作系统、应用程序文件、用于Web页面的HTML文件、脚本文件分别放置到不同分区上。打补丁；选择安全的服务器软件。CGIscripts(泄漏主机信息、以高优先级执行命令)把CGI脚本放到专用分区；小心地编写代码；严格测试这些脚本是否含有不期望或不止确的数据。FTPservers分区；访问控制（只允许匿名的只读访问）。http:/http:/保护保护IISIIS安全安全v在虚拟目录上设置合适的访问权限列表v在IIS log上设置合适的访问权限列表v在不使用服务器时自动重设权限v启动审计功能v移除 iisadmpwd 虚拟目录 v移除不再使用的脚本映射v设置合适的验证机制v安装尽量少的in
149、ternet 服务http:/http:/SMTPSMTP安全安全v提供SMTP身份验证（服务器端安装sendmail 8.10.0以上版本，客户端软件也需要支持认证， 如：outlook 5、foxmail4、netscape4.6）v禁止邮件转发v扫描E-mail附件v减小E-mail附件尺寸v限制接收者同时接受的邮件数量http:/http:/使用健壮的密码使用健壮的密码 施行可选的认证形式施行可选的认证形式 使用密码保护配置文件使用密码保护配置文件 调用完毕就注销用户调用完毕就注销用户 加密会话分组加密会话分组 限定登陆尝试次数限定登陆尝试次数 登记失败的登陆尝试登记失败的登陆尝试 锁
150、住登陆失败的用户锁住登陆失败的用户 更改缺省的监听端口更改缺省的监听端口个人防范对策个人防范对策http:/http:/测试和评估测试和评估测试存在的系统测试存在的系统利用和黑客一样的工具、方法和技术来测试网络参考服务器日志定期维护和管理漏洞扫描、安全评估http:/http:/实现新系统时的安全做法实现新系统时的安全做法v实现和正常系统相同的安全策略和配置v将新系统放入不同子网v尽可能模拟实际情况v测试v网络扫描器http:/http:/成为一个安全的偏执狂成为一个安全的偏执狂成为一个安全的偏执狂成为一个安全的偏执狂完整的安全策略完整的安全策略完整的安全策略完整的安全策略不要采取单独的系统或
151、技术不要采取单独的系统或技术不要采取单独的系统或技术不要采取单独的系统或技术部署公司范围的强制策略部署公司范围的强制策略部署公司范围的强制策略部署公司范围的强制策略提供培训提供培训提供培训提供培训终端用户、管理员、经理终端用户、管理员、经理终端用户、管理员、经理终端用户、管理员、经理根据需要购置安全设备根据需要购置安全设备根据需要购置安全设备根据需要购置安全设备识别安全的商业问题识别安全的商业问题识别安全的商业问题识别安全的商业问题考虑物理安全考虑物理安全考虑物理安全考虑物理安全八项安全实施建议八项安全实施建议http:/http:/安全资源安全资源v了解最新的安全动态http:/http:/
